KIO 2113/16

Sygn. akt: KIO 2113/16

KIO 2119/16

WYROK

z dnia 20 marca 2017 r.

Krajowa Izba Odwoławcza – w składzie:

Przewodniczący: Anna Packo

Jolanta Markowska

Lubomira Matczuk-Mazuś

Protokolant: Rafał Komoń

po rozpoznaniu na rozprawie w dniu 21 października 2016 r., 16 stycznia 2017 r. i 16 marca

2017 r., w Warszawie, odwołań wniesionych do Prezesa Krajowej Izby Odwoławczej:

A. w dniu 7 listopada 2016 r. przez wykonawcę Comarch Polska S.A. Al. Jana Pawła II

39A, 31-864 Kraków,

B. w dniu 7 listopada 2016 r. przez wykonawcę S&T Services Polska Sp. z o.o.

ul. Postępu 21D, 02-676 Warszawa

w postępowaniu prowadzonym przez

Prokuraturę Krajową ul. Rakowiecka 26/30, 02-528 Warszawa

przy udziale:

A. wykonawcy S&T Services Polska Sp. z o.o. ul. Postępu 21D, 02-676 Warszawa

zgłaszającego przystąpienie do postępowania odwoławczego o sygn. akt KIO 2113/16

po stronie odwołującego,

B. wykonawcy Atende S.A. ul. Ostrobramska 86, 04-163 Warszawa zgłaszającego

przystąpienie do postępowania odwoławczego o sygn. akt KIO 2113/16 oraz KIO

2119/16 po stronie zamawiającego

orzeka:

1

1. uwzględnia oba odwołania i nakazuje Prokuraturze Krajowej:

1.1. odrzucenie oferty wykonawcy Atende S.A. na podstawie art. 89 ust. 1 pkt 2

ustawy Prawo zamówień publicznych oraz wykluczenie wykonawcy Atende S.A.

na podstawie art. 24 ust. 1 pkt 12 ustawy Prawo zamówień publicznych,

1.2. odrzucenie oferty wykonawcy Comarch Polska S.A. na podstawie art. 89 ust. 1

pkt 2 ustawy Prawo zamówień publicznych,

1.3. ujawnienie informacji zastrzeżonych w ofercie Atende S.A. jako tajemnica

przedsiębiorstwa,

2. kosztami postępowania w sprawie o sygn. akt KIO 2113/16 oraz KIO 2119/16 obciąża

Atende S.A. i:

2.1. zalicza w poczet kosztów postępowania odwoławczego kwotę 15 000 zł 00 gr

(słownie: piętnaście tysięcy złotych zero groszy) uiszczoną przez Comarch

Polska S.A. tytułem wpisu od odwołania,

2.2. zalicza w poczet kosztów postępowania odwoławczego kwotę 15 000 zł 00 gr

(słownie: piętnaście tysięcy złotych zero groszy) uiszczoną przez S&T Services

Polska Sp. z o.o. tytułem wpisu od odwołania,

2.3. zasądza od Atende S.A. na rzecz Comarch Polska S.A. kwotę 15 000 zł 00 gr

(słownie: piętnaście tysięcy złotych zero groszy) stanowiącą koszty

postępowania odwoławczego poniesione z tytułu wpisu,

2.4. zasądza od Atende S.A. na rzecz S&T Services Polska Sp. z o.o. kwotę 18 600 zł

00 gr (słownie: osiemnaście tysięcy sześćset złotych zero groszy) stanowiącą

koszty postępowania odwoławczego poniesione z tytułu wpisu i wynagrodzenia

pełnomocnika,

2.5. zasądza od Atende S.A. na rzecz Prokuratury Krajowej kwotę 7 200 zł 00 gr

(słownie: siedem tysięcy dwieście złotych zero groszy) stanowiącą koszty

postępowania odwoławczego poniesione z tytułu wynagrodzenia pełnomocnika

w sprawach o sygn. KIO 2113/16 i KIO 2119/16.

2

Stosownie do art. 198a i 198b ustawy z dnia 29 stycznia 2004 r. – Prawo zamówień

publicznych (t.j. Dz. U. z 2015 r. poz. 2164 ze zm.) na niniejszy wyrok – w terminie 7 dni od

dnia jego doręczenia – przysługuje skarga za pośrednictwem Prezesa Krajowej Izby

Odwoławczej do Sądu Okręgowego w Warszawie.

Przewodniczący: ……………………..…

……………………..…

……………………s..…

3

Sygn. akt: KIO 2113/16

KIO 2119/16

Zamawiający – Prokuratura Krajowa prowadzi postępowanie o udzielenie zamówienia

publicznego na „zakup urządzeń bezpieczeństwa teleinformatycznego, oprogramowania

oraz usług mających na celu realizację bezpiecznego podłączenia sieci lokalnych

powszechnych jednostek organizacyjnych prokuratury do eksploatowanej w prokuraturze

sieci WAN” na podstawie ustawy z dnia 29 stycznia 2004 r. Prawo zamówień publicznych (t.j.

Dz. U. z 2015 r. poz. 2164 ze zm.), w trybie przetargu nieograniczonego.

Ogłoszenie o zamówieniu zostało opublikowane 31 sierpnia 2016 r. w Dzienniku Urzędowym

Unii Europejskiej pod numerem 2016/S 167-301021. Wartość zamówienia jest większa niż

kwoty określone na podstawie art. 11 ust. 8 ustawy Prawo zamówień publicznych.

I Zarzuty i żądania odwołania – odwołanie o sygn. KIO 2113/16

Odwołujący Comarch Polska S.A. wniósł odwołanie wobec:

1. zaniechania czynności, do której Zamawiający jest zobowiązany na podstawie ustawy

Prawo zamówień publicznych, tj. zaniechania odtajnienia (ujawnienia) i udostępnienia

Odwołującemu zastrzeżonych przez wykonawcę Atende S.A. następujących dokumentów:

a) Jednolitego Europejskiego Dokumentu Zamówienia w zakresie Części IV: Kryteria

kwalifikacji pkt C: Zdolność techniczna i zawodowa (str. 12-15 JEDZ w zakresie, w jakim dot.

ppkt C), tj. w części dotyczącej informacji na temat wykonanych zamówień oraz informacji

o osobach, które będą uczestniczyć w wykonywaniu zamówienia,

b) złożonych na wezwanie Zamawiającego dokumentów potwierdzających spełnianie

warunku w zakresie wiedzy i doświadczenia oraz warunku dotyczącego dysponowania

osobami zdolnymi do wykonania zamówienia,

c) wyjaśnień i ewentualnych uzupełnień treści oferty oraz wyjaśnień w sprawie tajemnicy

przedsiębiorstwa,

pomimo że ww. dokumenty nie stanowią tajemnicy przedsiębiorstwa w rozumieniu przepisów

o zwalczaniu nieuczciwej konkurencji, co stanowi naruszenie art. 7 ust. 1 w zw.

z art. 8 ust. 1-3 w zw. z art. 96 ust. 3 zdanie drugie ustawy Prawo zamówień publicznych,

2. zaniechania czynności odrzucenia oferty Atende S.A. z uwagi na niezgodność treści oferty

tego wykonawcy z treścią specyfikacji istotnych warunków zamówienia, co stanowi

naruszenie art. 89 ust. 1 pkt 2 ustawy Prawo zamówień publicznych,

3. zaniechania wykluczenia wykonawcy Atende S.A. z postępowania, pomimo że

wykonawca ten w wyniku co najmniej rażącego niedbalstwa wprowadził Zamawiającego

w błąd przy przedstawieniu informacji, że spełnia warunki udziału w postępowaniu oraz który

4

co najmniej w wyniku lekkomyślności lub niedbalstwa przedstawił informacje wprowadzające

w błąd Zamawiającego, mogące mieć istotny wpływ na decyzje podejmowane przez

Zamawiającego w postępowaniu o udzielenie zamówienia – mogące mieć wpływ na wynik

prowadzonego postępowania, co stanowi naruszenie art. 24 ust. 1 pkt 16 i 17 ustawy Prawo

zamówień publicznych,

4. zaniechania wykluczenia wykonawcy Atende S.A. z postępowania, pomimo że

wykonawca ten nie wykazał spełniania warunków udziału w postępowaniu, co stanowi

naruszenie art. 24 ust. 1 pkt 12 ustawy Prawo zamówień publicznych,

5. z ostrożności – zaniechania wezwania do uzupełnienia dokumentów i zaniechania

wezwania do wyjaśnienia dokumentów potwierdzających spełnianie warunków udziału

w postępowaniu w zakresie wymaganego doświadczenia, co stanowi naruszenie

odpowiednio art. 26 ust. 3 i 4 ustawy Prawo zamówień publicznych,

6. prowadzenia postępowania z naruszeniem zasady równego traktowania wykonawców

i uczciwej konkurencji, co stanowi naruszenie art. 7 ust. 1 ustawy Prawo zamówień

publicznych,

7. dokonania niezgodnej z przepisami ustawy Prawo zamówień publicznych czynności

wyboru oferty Atende S.A. jako najkorzystniejszej, w sytuacji gdy oferta ta powinna zostać

odrzucona, co stanowi naruszenie przepisu art. 91 ust. 1 ustawy Prawo zamówień

publicznych.

Odwołujący wniósł o uwzględnienie odwołania i nakazanie Zamawiającemu:

1. unieważnienia czynności oceny ofert, w tym czynności wyboru oferty Atende S.A.,

2. dokonania ponownej czynności oceny ofert,

3. wykluczenia wykonawcy Atende S.A. z postępowania,

4. odrzucenia oferty wykonawcy Atende S.A.,

5. wyboru oferty Odwołującego jako oferty najkorzystniejszej.

W uzasadnieniu odwołania Odwołujący wskazał, że zarzut zaniechania czynności

odrzucenia oferty Atende S.A. z uwagi na niezgodność treści oferty tego wykonawcy

z treścią specyfikacji istotnych warunków zamówienia dotyczy urządzenia Fortinet FortiGate

60E, służącego do realizacji bezpiecznego podłączenia sieci lokalnych jednostek

organizacyjnych prokuratury do eksploatowanej w prokuraturze sieci WAN. Przedmiot

zamówienia obejmuje dostawę, konfigurację i instalację tego urządzenia w jednostkach

podległych Zamawiającemu na terenie całej Polski.

Odwołujący i Przystępujący Atende S.A. oferują sprzęt tego samego producenta, tj. firmy

Fortinet. Oferty te różnią się jednak doborem sprzętu w ten sposób, iż Odwołujący – po

konsultacji z przedstawicielem producenta spełnienia wymagań specyfikacji istotnych

warunków zamówienia przez dostępny u tego producenta sprzęt zdecydował o zaoferowaniu

sprzętu wyższej klasy w celu spełnienia konkretnie jednej funkcji. Niższy model sprzętu byłby

5

tańszy, jednak z powodu tego wymagania Odwołujący zaoferował właśnie model wyższej

klasy, co przekładało się na wyższą cenę urządzenia, a tym samym droższą ofertę

Odwołującego.

Zamawiający wymagał dostarczenia trzech typów urządzeń bezpieczeństwa (typ I, typ II i typ

III). Atende S.A. zaoferowała dla I i II typu urządzeń jeden model, tj. FortiGate 60E.

Urządzenie to nie spełnia jednak wymagania określonego w załączniku nr 1 do specyfikacji

istotnych warunków zamówienia „Szczegółowy opis przedmiotu zamówienia” odpowiednio

w tabeli z punktu 1.1.1 Urządzenie bezpieczeństwa typ I ppkt 2.19 oraz w tabeli z punktu

1.1.2 Urządzenie bezpieczeństwa typ II ppkt 2.19. Brzmienie obu zapisów jest identyczne:

„Urządzenie musi zapewniać możliwość konfiguracji redundancji na poziomie interfejsów

fizycznych urządzenia”.

W toku postępowania Odwołujący, po konsultacji z przedstawicielem producenta co do

niespełnienia tego wymagania przez tańszy model FortiGate 60E, usiłował doprowadzić do

rezygnacji z tego wymagania (odpowiedź na pyt. nr 1 z 21 września 2016 r.), lecz

Zamawiający podtrzymał postanowienia podpunktu 2.19, a więc nie dopuścił rozwiązania nie

posiadającego ww. funkcji. (Odpowiedź na pytanie: „Zamawiający dopuści urządzenia

bezpieczeństwa Typ I oraz Typ II, które będą w stanie obsłużyć szyfrowanie protokołem AOS

z kluczem 128 i 256 bitów w trybie pracy GCM. Zamawiający podtrzymuje wymagania

zawarte w SIWZ.”)

Zaoferowane przez Atende S.A. urządzenie FortiGate 60E nie posiada wymaganej funkcji,

zatem oferta tej firmy powinna zostać odrzucona. Aby spełnić wszystkie wymagania dla typu

I oraz typu II należało zaoferować model wyższy, co najmniej FortiGate 100D, a więc taki,

jaki zaoferował Odwołujący.

Z treści oferty Atende S.A. wynikać może, że w ramach urządzeń bezpieczeństwa typ I i II

mogły zostać zaoferowane zestawy dwóch urządzeń FortiGate 60E w formie klastra HA, co

uczyniono po to, aby spełnić wymaganie redundancji interfejsów (pojedyncze urządzenie

wymogu tego nie spełnia). Świadczą o tym zapisy w ofercie Atende S.A. na str. 41 oraz str.

49 w kolumnie „Parametry techniczne oferowanego sprzętu (tj. wskazanie konkretnego

parametru lub konfiguracji i/albo potwierdzenie opisu minimalnych wymagań)”. Zapis ten

brzmi: „Redundancja wszystkich interfejsów w klastrze HA oraz redundancja i balansowanie

interfejsów przeznaczonych na WAN/Internet”. Gdyby Atende S.A. oferowało zestaw dwóch

urządzeń, oferta byłaby nadal sprzeczna z omawianym zapisem z ppkt 2.19, a naruszone

byłby też inne wymagania specyfikacji istotnych warunków zamówienia, gdyż specyfikacja

wprost stanowi o funkcji redundancji interfejsów fizycznych w pojedynczym urządzeniu, a nie

w klastrze, gdyż klaster urządzeń nie jest fizycznie pojedynczym urządzeniem. Ponadto

w przypadku oferowania klastrów urządzeń ilość urządzeń w ofercie powinna być dwukrotnie

większa, tymczasem oferta ta zawiera ilości urządzeń wymagane przez Zamawiającego dla

pojedynczego urządzenia. Świadczy to o tym, że Atende S.A. zaoferowała pojedyncze,

6

niezgodne ze specyfikacją, urządzenia FortiGate 60E, bądź, jeśli klastry, to ich ilość nie

odpowiada wymaganiom Zamawiającego oraz nie spełniają one wymagania redundancji

interfejsów na pojedynczym urządzeniu.

Specyfikacja istotnych warunków zamówienia określała nie tylko konieczność dostawy

pojedynczego urządzenia, lecz również przewidywała sposób jego wykonania w zakresie

sposobu instalacji i konfiguracji. W każdej jednostce organizacyjnej dostarczane urządzenie

miało być z jednej strony podłączone do routera CE obsługującego połączenie do sieci WAN

Zamawiającego, a z drugiej strony do jednego bądź kilku przełączników sieci LAN.

Atende S.A., w celu potwierdzenia spełnienia warunku udziału w postępowaniu opisanego

w punkcie 2.1 rozdziału V specyfikacji istotnych warunków zamówienia, o treści: „wykonawca

musi wykazać, że w okresie ostatnich trzech lat przed upływem terminu składania ofert,

a jeżeli okres prowadzenia działalności jest krótszy – w tym okresie, wykonał co najmniej

1 (jedno) zamówienie, obejmujące dostawę, instalację i wdrożenie infrastruktury sieciowej,

w tym urządzeń bezpieczeństwa sieciowego, o wartości co najmniej 2.000.000,00 złotych

brutto, w tym: a) zamówienie obejmowało dostawy do co najmniej 100 różnych lokalizacji

w szesnastu województwach, b) zamówienie obejmowało dostawę, instalację i wdrożenie

urządzeń sieciowych w tym urządzeń bezpieczeństwa sieciowego w ilości przynajmniej 100

sztuk wraz z minimum 3-letnim wsparciem serwisowym lub gwarancją obejmującymi

wsparcie producenta sprzętu”, powołał się na doświadczenie zdobyte w ramach projektu

„Ogólnopolska sieć teleinformatyczna na potrzeby obsługi numeru alarmowego 112” na

rzecz Centrum Projektów Informatycznych MSWiA. Jednocześnie wykonawca utajnił

informacje na temat realizacji przedmiotowego zamówienia powołując się na ustawę z dnia

5 sierpnia 2010 r. o ochronie informacji niejawnych.

Atende S.A. składając oświadczanie powołujące się na ww. doświadczenie jako

potwierdzające warunek udziału w postępowaniu wprowadziło Zamawiającego w błąd,

ponieważ nieprawdą jest, że ww. dostawa i wdrożenie infrastruktury sieciowej nastąpiło

w okresie ostatnich trzech lat przed składaniem ofert. W ramach powołanego projektu doszło

do wykonania dostawy, jednak zakończyła się ona w sierpniu 2013 r., co jest

doświadczeniem nieaktualnym w myśl obowiązujących wykonawców postanowień

specyfikacji istotnych warunków zamówienia i przepisów.

Nie można uznać za aktualne ww. doświadczenia wykonawcy, gdyż istotą zamówienia oraz

przedmiotowego warunku jest dostawa sprzętu z jego instalacją i konfiguracją. Kwestia

czasu gwarancji producenta nie może stanowić pretekstu do przyjęcia, iż dostawa sprzętu

została wykonana w okresie ostatnich trzech lat, gdyż oznaczałoby to, że należy uznawać

dostawy sprzed 6 lat, z czego 3 lata byłby to okres po samej dostawie, a kolejne 3 lata

obejmowałyby gwarancję producencką. Takie rozumienie warunku i aktualności

wymaganego doświadczenia służyłoby tylko i wyłącznie sztucznemu przedłużeniu

7

aktualności dostawy siłą rzeczy będącej zobowiązaniem jednorazowym (sama dostawa wraz

z konfiguracją urządzeń i ich instalacją nie jest procesem czasochłonnym). Zdaniem

Odwołującego zobowiązanie serwisowe i gwarancyjne jako zobowiązanie o innym

charakterze niż dostawa wyklucza możliwość przedłużania za jego pomocą aktualności

wykonania dostawy sprzętu (infrastruktury).

Atende S.A. musiało mieć pełną świadomość daty zakończenia dostawy w ramach projektu,

gdyż podmiot ten jako profesjonalista musi rozróżniać dostawę od gwarancji producenta oraz

musi mieć też pełną świadomość i wiedzę na temat podpisywanych protokołów odbioru

sprzętu i zafakturowania tej czynności. Wprowadzenie Zamawiającego w błąd co do

aktualności dostawy referencyjnej było zatem świadome i miało na celu potwierdzenie

spełnienia warunku udziału w postępowaniu, pomimo że wykonawca ten nie dysponował

dostawą aktualną, czyli wykonaną nie wcześniej niż przed upływem 3 lat przed dniem

składania ofert.

Wobec małej ilości podobnych dostaw na rynku wykonawca ten działał ze szkodą dla innych

wykonawców, którzy zmuszeni byli poszukiwać dostaw aktualnych, pozyskując zobowiązanie

podmiotu trzeciego lub wręcz zmuszeni byli do rezygnacji ze złożenia oferty w postępowaniu.

Powyższe wprowadzenie w błąd pozwoliło na pozytywną ocenę doświadczenia tego

wykonawcy, co miało wpływ na wynik postępowania, zakończony wyborem oferty Atende

S.A.

W ramach oferty Atende S.A. doszło do złożenia oświadczenia, które obiektywnie jest

niezgodne z rzeczywistością. Zdaniem Odwołującego w okolicznościach sprawy należy

uznać, iż złożenie przedmiotowego oświadczenia nie jest wynikiem przeoczenia, błędu czy

niezamierzonej omyłki, lecz oświadczeniu temu przyświecał zamiar wprowadzenia

Zamawiającego w błąd. Atende S.A. jako wykonawca ubiegający się od lat o zamówienia

publiczne ma i musi mieć wiedzę i świadomość tego, co oznacza wymóg „ostatnich trzech lat

przed składaniem ofert” i jak należy go rozumieć w ocenie aktualności posiadanego

doświadczenia. Trudno zaś przyjąć, iż profesjonalny uczestnik rynku nie kontroluje, nie wie

lub zapomina o tym, kiedy dokonał określonej dostawy i kiedy otrzymał z jej tytułu przychód.

Atende S.A., jako podmiot serwisujący dostarczony sprzęt, musiało też mieć wiedzę, od

kiedy rozpoczyna bieg gwarancja, a w konsekwencji, iż sama dostawa została wykonana

wcześniej.

Jednocześnie Atende S.A. nie wykazał spełnienia warunków udziału w postępowaniu.

Zgodnie z ustawą Prawo zamówień publicznych potwierdzenie takiego zarzutu winno

skutkować wezwaniem wykonawcy do złożenia wyjaśnień, względnie do uzupełnienia oferty

w trybie art. 26 ust. 3 ustawy Prawo zamówień publicznych. Jednak z uwagi na zarzucaną

niezgodność treści oferty z treścią specyfikacji istotnych warunków zamówienia oraz z uwagi

na złożenie nieprawdziwych informacji oferta Atende S.A. nie podlega uzupełnieniu jako

8

kwalifikująca się do odrzucenia. W przypadku zaś gdyby ww. zarzuty nie potwierdziły się,

zasadne jest nakazanie Zamawiającemu wyjaśnienia i uzupełnienia oferty Atende S.A.

Nierówne traktowanie wykonawców objawia się nie tylko poprzez dokonanie wyboru oferty,

która powinna zostać odrzucona, lecz i w tym, że Zamawiający, uznając za dopuszczalne

zaoferowanie urządzenia niespełniającego wymagania funkcjonalnego, zaprzeczył swym

wcześniejszym decyzjom podjętym na postępowaniu, które wyrażały się w podtrzymaniu

tego wymagania i jego brzmienia.

Po dokonaniu wglądu w treść oferty Atende S.A. Odwołujący stwierdził, że Zamawiający

naruszył przepisy ustawy Prawo zamówień publicznych poprzez zaniechanie odtajnienia

(ujawnienia) i udostępnienia Odwołującemu zastrzeżonych przez wykonawcę Atende S.A.

jako niejawnych części jego oferty, przez co uniemożliwił Odwołującemu zbadanie oferty

tego wykonawcy i wykazanie, że wykonawca ten powinien zostać wykluczony

z postępowania, a oferta tego wykonawcy powinna zostać odrzucona.

Zgodnie z art. 96 ust. 3 ustawy Prawo zamówień publicznych załączniki do protokołu

udostępnia się po dokonaniu wyboru najkorzystniejszej oferty lub unieważnieniu

postępowania, z tym że oferty udostępnia się od chwili ich otwarcia. W przepisie art. 8 ust. 1

ustawy Prawo zamówień publicznych ustanowiona została zasada, że postępowanie

o udzielenie zamówienia jest jawne. Zamawiający może ograniczyć dostęp do informacji

związanych z postępowaniem o udzielenie zamówienia tylko w przypadkach określonych

w ustawie (art. 8 ust. 2). Zgodnie z art. 8 ust. 3 ustawy Prawo zamówień publicznych nie

ujawnia się informacji stanowiących tajemnicę przedsiębiorstwa w rozumieniu przepisów

o zwalczaniu nieuczciwej konkurencji, jeżeli wykonawca, nie później niż w terminie składania

ofert lub wniosków o dopuszczenie do udziału w postępowaniu, zastrzegł, że nie mogą być

one udostępniane.

Zgodnie z definicją tajemnicy przedsiębiorstwa zamieszczoną w art. 11 ust. 4 ustawy

o zwalczaniu nieuczciwej konkurencji przez tajemnicę przedsiębiorstwa rozumie się

nieujawnione do wiadomości publicznej informacje techniczne, technologiczne,

organizacyjne przedsiębiorstwa lub inne informacje posiadające wartość gospodarczą, co do

których przedsiębiorca podjął niezbędne działania w celu zachowania ich poufności.

Z legalnej definicji pojęcia „tajemnica przedsiębiorstwa” wynika więc, iż za taką tajemnicę

może być uznana określona informacja (wiadomość), jeżeli spełnia łącznie trzy warunki:

1) ma charakter techniczny, technologiczny, handlowy lub organizacyjny przedsiębiorstwa,

2) nie została ujawniona do wiadomości publicznej, 3) podjęto w stosunku do niej niezbędne

działania w celu zachowania poufności. Odnośnie warunku pierwszego powszechnie

przyjmuje się, że przepis ten wyłącza możliwość uznania za tajemnicę przedsiębiorstwa

informacji, które można uzyskać w zwykłej drodze, w szczególności w sytuacji, gdy istnieje

obowiązek ich ujawniania na podstawie odrębnych przepisów prawa. Odnośnie warunku

drugiego przyjmuje się, że informacja (wiadomość) nie ujawniona do wiadomości publicznej

9

to informacja, która nie jest znana ogółowi, innym przedsiębiorcom lub osobom, które ze

względu na swój zawód są zainteresowane jej posiadaniem. Informacja nie ujawniona do

wiadomości publicznej traci ochronę prawną, gdy każdy przedsiębiorca (potencjalny

konkurent) może dowiedzieć się o niej drogą zwykłą i dozwoloną. Podjęcie niezbędnych

działań w celu zachowania poufności informacji ma prowadzić do sytuacji, w której chroniona

informacja nie może dotrzeć do wiadomości osób trzecich w normalnym toku zdarzeń, bez

żadnych specjalnych starań z ich strony.

W ocenie Odwołującego dokonane przez Atende S.A. zastrzeżenia ww.

jako było i jest oświadczeń/dokumentów/wyjaśnień tajemnicy przedsiębiorstwa

bezpodstawne. Zawarte w nich informacje nie stanowią tajemnicy przedsiębiorstwa

w rozumieniu przepisów o zwalczaniu nieuczciwej konkurencji. W związku z powyższym,

zgodnie z uchwałą Sądu Najwyższego z 21 października 2005 r. (sygn. akt III CZP 74/05)

Zamawiający powinien odtajnić zastrzeżone informacje, czego nie uczynił. Zamawiający

naruszył więc przepisy ustawy Prawo zamówień publicznych, w szczególności zasadę

jawności postępowania oraz zasady równości wykonawców i uczciwej konkurencji.

Powyższe w szczególności dotyczy bezpodstawności zastrzeżenia w ofertach wykazów

zamówienia wraz z dowodami, że zostały należycie wykonane, jak i wszelkich

wyjaśnień/uzupełnień w tym zakresie. Nie można uznać za zasadne utajnienie informacji

dotyczących zamówień publicznych. Odnośnie zamówień publicznych zastrzeżenie ich

tajemnicą wyklucza w szczególności fakt, że informacje na ich temat są dostępne publicznie.

Atende S.A. w treści uzasadnienia objęcia tajemnicą przedsiębiorstwa części oferty

wskazuje, że w załączonym do oferty Jednolitym Europejskim Dokumencie Zamówienia

w części IV pkt C przedstawił zamówienie zrealizowane w ramach projektu „Ogólnopolska

sieć teleinformatyczna na potrzeby obsługi numeru alarmowego 112” na rzecz Centrum

Projektów Informatycznych MSWiA, a szczegółowe informacje na temat realizacji

przedmiotowego zamówienia podlegają utajnieniu na podstawie ustawy z dnia 5 sierpnia

2010 r. o ochronie informacji niejawnych. Zamówienia zrealizowane w ramach ww. projektu

były zamówieniami prowadzonymi w ramach zamówienia publicznego w trybie przetargów

nieograniczonych. Atende S.A. informuje o powyższych umowach na swojej stronie

internetowej, ponadto informacje te są dostępne również na innych portalach.

Doświadczenie Atende (uprzednio ATM) jest znane na rynku informatycznym, zatem

uzasadnienie, jakoby projekt ten jest kluczowy dla wykonawcy, jest zupełnie nietrafione.

II Zarzuty i żądania odwołania – odwołanie o sygn. KIO 2119/16

Odwołujący – S&T Services Polska Sp. z o.o. wniósł odwołanie wobec zaniechania przez

Zamawiającego dokonania czynności odrzucenia ofert złożonych przez wykonawców Atende

S.A. oraz Comarch Polska S.A. jako ofert będących ofertami niezgodnymi ze specyfikacją

istotnych warunków zamówienia obowiązującą w postępowaniu i dokonania czynności

polegającej na wyborze oferty wykonawcy Atende S.A. jako najkorzystniejszej

10

w postępowaniu, co narusza art. 89 ust. 1 pkt 2 i art. 91 ust. 1 ustawy Prawo zamówień

publicznych poprzez niezasadne zaniechanie odrzucenia ww. ofert, z następujących

powodów:

1. w odniesieniu do oferty Atende S.A. – niezgodność z treścią punktu 1.1.1 ppkt 2.19

załącznika nr 1 do specyfikacji istotnych warunków zamówienia „Szczegółowy opis

przedmiotu zamówienia” poprzez niespełnienie wymogu zapewnienia możliwości konfiguracji

redundancji na poziomie interfejsów fizycznych urządzenia,

2. w odniesieniu do oferty Atende S.A. i oferty Comarch Polska S.A. – niezgodność z treścią

następujących punktów załącznika nr 1 do specyfikacji istotnych warunków zamówienia

„Szczegółowy opis przedmiotu zamówienia”:

2.1. punktu 1.1.1, 1.1.2, 1.1.3 ppkt 2.29 poprzez niespełnienie wymogu możliwości tworzenia

reguł firewall, w których warunkiem jest nazwa aplikacji definiowana za pomocą sygnatury,

2.2. punktu 1.1.1, 1.1.2, 1.1.3 ppkt 2.30 poprzez niespełnienie wymogu możliwości

przypisywania różnych profili ochrony przed złośliwym oprogramowaniem dla różnych

aplikacji, nawet jeśli pracują w tym samym porcie,

2.3. punktu 1.1.1, 1.1.2, 1.1.3 ppkt 2.35.1 poprzez niespełnienie wymogu posiadania

możliwości klasyfikacji ruchu i wykrywania co najmniej 3000 aplikacji sieciowych,

2.4. punktu 1.1.1, 1.1.2, 1.1.3 ppkt 3.3 poprzez niespełnienie wymogu możliwości

definiowania grup administratorów z określeniem uprawnień co do poszczególnych poleceń.

Odwołujący wniósł o:

1. merytoryczne rozpatrzenie oraz uwzględnienie niniejszego odwołania w całości,

2. dopuszczenie i przeprowadzenie dowodu z dokumentacji postępowania na okoliczności

wskazane niniejszym odwołaniem,

3. nakazanie Zamawiającemu dokonania ponownej oceny ofert złożonych w postępowaniu,

a w jej wyniku odrzucenie ofert złożonych przez wykonawców Atende S.A. oraz Comarch

Polska S.A. będących ofertami niezgodnymi ze specyfikacją istotnych warunków zamówienia

obowiązującą w postępowaniu oraz dokonanie wyboru oferty S&T Services Polska Sp. z o.o.

jako oferty najkorzystniejszej w postępowaniu,

4. zasądzenie od Zamawiającego na rzecz Odwołującego kosztów postępowania

odwoławczego.

W uzasadnieniu odwołania Odwołujący wskazał, że szczegółowe wymagania dotyczące

oferowanych w ramach przedmiotu zamówienia urządzeń Zamawiający zamieścił

w załączniku nr 1 do specyfikacji istotnych warunków zamówienia „Szczegółowy opis

przedmiotu zamówienia”. Jednocześnie w treści formularza ofertowego stanowiącego

załącznik nr 3 do specyfikacji istotnych warunków zamówienia wykonawcy zostali

zobowiązani do złożenia wyraźnego oświadczenia o treści „Oferujemy dostawę urządzeń

i oprogramowania wskazanych w Załączniku Nr 1 do SIWZ – wypełniona Specyfikacja

11

techniczna urządzeń i oprogramowania. Wypełniony Załącznik Nr 1 do SIWZ stanowi

załącznik do niniejszego Formularza ofertowego”, a także o treści „Akceptujemy wszystkie

warunki i wymagania dotyczące realizacji przedmiotu zamówienia, a treść oferty jest zgodna

z treścią SIWZ”. Oznacza to, że za zgodną ze specyfikacją istotnych warunków zamówienia

obowiązującą w postępowaniu może być uznana wyłącznie taka oferta, która obejmuje

urządzenia w pełni zgodne z wymaganiami wprowadzonymi treścią ww. załącznika nr 1

„Szczegółowy opis przedmiotu zamówienia".

Wykonawcy Atende S.A. i Comarch Polska S.A. zaoferowali urządzenia marki Fortinet, trzy

różne modele dla trzech typów urządzeń wymaganych przez Zamawiającego: dla typu I –

Atende S.A. urządzenie Fortigate 60E, Comarch Polska S.A. – urządzenie FortiGate 100D,

dla typu II – Atende S.A. urządzenie Fortigate 60E, a wykonawca Comarch Polska S.A.

urządzenie FortiGate 100D, dla typu III – Atende S.A. i Comarch Polska S.A. urządzenie

FotiGate 300D.

W ocenie Odwołującego oferty złożone przez Atende S.A. i Comarch Polska S.A. nie

odpowiadają wymaganiom Zamawiającego zawartym w załączniku nr 1 do specyfikacji

istotnych warunków zamówienia, a zatem powinny zostać odrzucone.

Zgodnie z treścią punktu 1.1.1 ppkt 2.19 załącznika nr 1 Zamawiający wymagał zapewnienia

możliwości konfiguracji redundancji na poziomie interfejsów fizycznych urządzenia.

Zaoferowany przez Atende S.A. zaoferował niższy i tańszy model urządzenia producenta

Fortinet, tj. urządzenie Fortigate 60E nie spełnia ww. wymagania, nie ma bowiem możliwości

konfiguracji redundancji na poziomie interfejsów fizycznych urządzenia.

Zgodnie z dokumentem producenta urządzenia dostępnym pod adresem

ta http://docs.fortinet.com/uploaded/files/2805/SWMATRIX-540-201602-R10.pdf funkcja

(Redundant Ports for HA) jest obsługiwana jedynie w modelach Fortigate 100D i wyższych.

W ofercie Atende S.A. w tabeli ze specyfikacją urządzenia, w kolumnie „Parametry

techniczne oferowanego sprzętu (tj. wskazanie konkretnego parametru lub konfiguracji i/albo

potwierdzenie opisu minimalnych wymagań)” znajduje się informacja, że „Redundancja

wszystkich interfejsów w klastrze HA oraz redundancja i balansowanie interfejsów

przeznaczonych na WAN/Internet”. Z tego opisu można wywnioskować, iż:

- redundancja wszystkich interfejsów w klastrze HA – urządzenie posiada redundancję

interfejsów w ramach klastra, czyli urządzenie, które nie będzie spięte w klaster HA, nie

będzie posiadało redundancji. Spięcie urządzeń w klaster wymaga zastosowania dwóch

identycznych urządzeń; Zamawiający nie będzie miał możliwości wykorzystania takiej

redundancji w przypadku pojedynczego urządzenia. Dodatkowo, jeżeli urządzenie zostanie

spięte w klaster HA, to w momencie awarii interfejsu, klaster będzie musiał przełączyć ruch

na urządzenie zapasowe, czego nie można nazwać redundancją na poziomie interfejsów

fizycznych. W wymaganiu Zamawiający jasno definiuje, że redundancja musi odbywać się na

poziomie interfejsów fizycznych urządzenia, a nie urządzeń w klastrze HA,

12

- redundancja i balansowanie interfejsów przeznaczonych na WAN/Internet – umożliwia to

balansowanie ruchu pomiędzy dwoma łączami WAN/Internet. Nie ma możliwości

balansowania ruchu na innych interfejsach niż WAN/Internet. Zamawiający nie zawarł

informacji, że wymaga redundancji tylko na interfejsach podłączonych do sieci WAN lub

Internet. Ponadto konfiguracja ta wymaga, żeby każdy interfejs był podłączony do innej

podsieci, czego nie można nazwać redundancją fizycznych interfejsów.

W ofertach Comarch Polska S.A. i Assecco Data Systems S.A. (który również zaoferował

urządzenia Fortinet) w tabeli ze specyfikacją urządzenia w kolumnie „Parametry techniczne

oferowanego sprzętu…” znajduje się następująca informacja: „Redundancja wszystkich

interfejsów w klastrze HA oraz redundancja i balansowanie interfejsów przeznaczonych na

WAN/Internet, tworzenie interfejsów „zapasowych” oraz zagregowanych w ramach jednego

urządzenia”. Wykonawcy ci dodali do zapisu identycznego jak w przypadku oferty

wykonawcy Atende S.A. wpis „tworzenie interfejsów „zapasowych” oraz zagregowanych

w ramach jednego urządzenia”, który jest dokładnie potwierdzeniem spełnienia wymagania

o możliwości konfiguracji redundancji na poziomie interfejsów fizycznych urządzenia.

Wymaganie to spełniają urządzenia firmy Fortinet, dopiero jednak począwszy od modelu

Fortigate 100D.

Oferowane przez wykonawcę Atende S.A. urządzenia nie mają zatem możliwości

konfiguracji redundancji na poziomie interfejsów fizycznych urządzenia, nie spełniają zatem

omawianych wymagań specyfikacji istotnych warunków zamówienia.

Zamawiający otrzymał pytanie do specyfikacji istotnych warunków zamówienia, którego

zadaniem było wyeliminowanie wymagania redundancji interfejsów fizycznych w celu

obniżenia ceny urządzeń, na co nie wyraził zgody. To dodatkowo potwierdza, że to

wymaganie jest istotne w punku widzenia Zamawiającego, a oferent zadający pytanie

doskonale zdawał sobie sprawę, że urządzenia Fortigate 60E nie spełniają wymagań.

Zgodnie z treścią punktu 1.1.1, 1.1.2. i 1.1.3 ppkt 2.29 załącznika nr 1 Zamawiający wymagał

możliwości tworzenia reguł firewall, w których warunkiem jest nazwa aplikacji definiowana za

pomocą sygnatury.

Głównym zadaniem firewalli jest tworzenie tzw. polityk bezpieczeństwa. Definiują one, jaki

ruch sieciowy będzie dozwolony, a jaki nie. Ruchem sieciowym możemy nazwać dostęp

określonej osoby do poczty lub do określonych stron w Internecie. Wcześniejsze firewalle

pozwalały na tworzenie polityk bezpieczeństwa w oparciu o tzw. port (zwany również usługą

– ang. „service”), na którym działała dana usługa. Obecnie zdecydowana większość aplikacji

w Internecie działa z wykorzystaniem dwóch portów, dlatego tradycyjny firewall nie jest

w stanie zablokować np. aplikacji Facebook lub poczty, jednocześnie umożliwiając

przeglądanie Internetu. Obecnie na rynku istnieją firewalle, które pozwalają tworzyć reguły

w oparciu o sygnaturę aplikacji, a nie tylko numer portu. W związku z tym najlepszym

13

rozwiązaniem do zabezpieczenia sieci jest wykorzystanie takich właśnie firewalli

i Zamawiający wymagał dostarczenia firewalla, który jest w stanie tworzyć polityki dostępu

wykorzystując jako warunek nazwę aplikacji a nie numer portu. Reguła polityki dostępu

składa się z dwóch głównych części: warunek i rezultat. W warunku określamy, co musi

zostać spełnione, żeby dana reguła się wykonała, natomiast w rezultacie określamy, co

powinno się wykonać.

W zaoferowanych przez Atende S.A. i Comarch Polska S.A. urządzeniach Fortigate 60E,

Fortigate 100D i Fortigate 300D nie ma możliwości stworzenia reguły, w której warunkiem

jest sygnatura aplikacji. Oznacza to niezgodność tych urządzeń ze specyfikacją istotnych

warunków zamówienia.

Zgodnie z punktem 1.1.1, 1.1.2 i 1.1.3 ppkt 2.30 załącznika nr 1 Zamawiający wymagał

możliwości przypisywania różnych profili ochrony przed złośliwym oprogramowaniem dla

różnych aplikacji, nawet jeśli pracują w tym samym porcie.

Zaoferowane urządzenia FortiGate 60E, Fortigate 100D oraz Fortigate 300D nie mają

możliwości przypisania różnych profili ochrony przed złośliwym oprogramowaniem dla

różnych aplikacji, jeżeli pracują one na tym samym porcie. Wynika to ze sposobu konfiguracji

reguł kontroli dostępu, w ramach których nie ma możliwości wykorzystania aplikacji jako

warunku. W urządzeniach Foritgate przypisywanie profili ochrony przed złośliwym

oprogramowaniem wykonuje się przy tworzeniu reguł polityki dostępu, która składa się

z dwóch głównych części: warunek i rezultat. W przypadku spełnienia warunków reguły

wykonują się wcześniej określone akcje.

W urządzeniach Fortigate 60E, Fortigate 100D, Fortigate 300D dla każdej reguły możemy

dopisać profil bezpieczeństwa. Zamawiający wymagał możliwości przypisania różnych profili

ochrony przed złośliwym oprogramowaniem dla różnych aplikacji, nawet jeśli pracują na tym

samym porcie. Jak wynika ze sposobu tworzenia reguł bezpieczeństwa, nie możemy wybrać

w warunku reguły aplikacji (możemy przypisać tylko numer portu), w związku z czym nie

możemy stworzyć różnych reguł z różnymi profilami bezpieczeństwa dla różnych aplikacji.

Jeżeli stworzymy dwie polityki z tym samym numerem portu i przypiszemy do nich dwa różne

profile bezpieczeństwa, to wykona się tylko pierwsza, natomiast druga się nigdy nie wykona.

Opisano to w dokumentacji FortiOS (FortiOS jest to system operacyjny pracujący na

urządzeniach Fortigate). W związku z powyższym urządzenia FortiGate nie umożliwiają

przypisywania różnych profili ochrony przed złośliwym oprogramowaniem dla różnych

aplikacji, jeśli pracują na tym samym porcie. Oznacza to niezgodność tych urządzeń ze

specyfikacją istotnych warunków zamówienia.

Zgodnie z punktem 1.1.1, 1.1.2 i 1.1.3 ppkt 2.35.1 załącznika nr 1 Zamawiający wymagał

posiadania możliwości klasyfikacji ruchu i wykrywania co najmniej 3000 aplikacji sieciowych.

14

Zgodnie z informacjami producenta dostępnymi na stronie http://heIp.fortinet.com/fos50hlp/

54/Content/FortiOS/fortiOS-HTMl5;v2/lnsideFOS/ApplicationControl.htm. na urządzeniach

Foritgate pracujących pod kontrolą FortiOS aplikacje i ich aktywności są identyfikowane

poprzez FortiGuard Application Control. Baza danych FortiGuard Application Control zawiera

ponad 2500 wyróżnionych sygnatur definiujących aplikacje. Gdyby urządzenie obsługiwało

3000 lub więcej, byłby wpis ponad 3000 wyróżnionych sygnatur definiujących aplikacje.

Firma Fortinet umieszcza dostęp do baz danych FortiGuard Application Control poprzez

stronę: https://fortiguard.com/appcontrol. Na powyższej stronie pokazane są wszystkie

wykrywane przez FortiGuard Application Control aplikacje. Na dzień 4 listopada 2016 r.

liczba aplikacji umożliwiających klasyfikowanie i wykrywanie aplikacji wynosi 2880, co jest

nie zgodne z wymaganiami specyfikacji istotnych warunków zamówienia.

Zgodnie z punktem 1.1.1, 1.1.2 i 1.1.3 ppkt 3.3 załącznika nr 1 Zamawiający wymagał

możliwości definiowania grup administratorów z określeniem uprawnień co do

poszczególnych poleceń.

Zamawiający wymagał, aby zaoferowane urządzenie pozwalało na tworzenie grup

administratorów z określeniem uprawnień co do poszczególnych poleceń. Urządzenia

FortiGate 60E, FortiGate 100D oraz FortiGate 300D oferowane przez Atende S.A. i Comarch

Polska S.A. nie pozwalają definiować grup administratorów z określeniem uprawnień co do

poszczególnych poleceń. Urządzenie to pozwala tylko definiować uprawnienia do

zdefiniowanych grup poleceń, nie spełnia zatem omawianego wymogu, nie posiada bowiem

wymaganej gradowalności określenia uprawnień. Pozwala jedynie na określenie uprawnień

do grup poleceń (fragmentów konfiguracji), a nie poszczególnych poleceń. W zastosowanym

oprogramowaniu polecenia zgrupowane są według poszczególnych kategorii, tj. po

rozwinięciu danej kategorii pojawiają się poszczególne polecenia. Zgodnie ze specyfikacją

istotnych warunków zamówienia wymagane jest, żeby była możliwość określenia dla danego

administratora dostępu do każdego polecenia.

Dodatkowo ze względu na rozproszoną architekturę systemu, w którym urządzenia będą

zarządzane przez administratorów o różnym poziomie umiejętności w zarządzaniu tymi

urządzeniami, brak jest możliwości przydzielenia uprawnienia do konkretnego polecania.

Natomiast konieczność przydzielania grupy poleceń może prowadzić do nadużycia (zarówno

celowego, jak i przypadkowego) uprawnień administratorów, co może doprowadzić do

powstania luk w systemie i wycieku danych krytycznych dla funkcjonowania Prokuratury

Krajowej oraz przebiegu spraw przez nią prowadzonych.

Oferowane urządzenia nie mają zatem możliwości określenia uprawnień administratorów do

poszczególnych poleceń, a jedynie do ich grup, obejmujących liczne polecenia. Oznacza to

niezgodność tych urządzeń ze specyfikacją istotnych warunków zamówienia.

15

W świetle przedstawionej argumentacji technicznej należy uznać, że zaoferowane przez obu

wykonawców urządzenia nie spełniają wymagań specyfikacji istotnych warunków

zamówienia i powinny zostać odrzucone. Deklaracja złożona w formularzu oferty dotycząca

realizacji zamówienia musi korespondować z pozostałymi oświadczeniami wykonawcy

złożonymi w ofercie, dzięki którym to oświadczeniom wykonawca uszczegóławia

i indywidualizuje ofertę przez podanie stosownych wymaganych informacji. Tym samym

deklaracja realizacji zamówienia zgodnie ze specyfikacją istotnych warunków zamówienia

bez jego indywidualizacji, konkretyzacji, gdy ta indywidualizacja wymagana jest przez

zamawiającego, jest niewystarczająca. Inne rozumienie wypaczałoby sens zamówienia,

którego celem jest uzyskanie oferty na konkretny produkt zgodny z wymaganiami

zamawiającego. Ustalenie, że treść oferty nie odpowiada treści specyfikacji musi wynikać

z faktu, że oferta nie zapewnia realizacji przedmiotu zamówienia w całości zgodnie

z wymaganiami zamawiającego odnoszącymi się do merytorycznego zakresu przedmiotu

zamówienia, którego zamawiający oczekuje dla spełnienia uzasadnionych, określonych

w specyfikacji potrzeb. Niezgodność treści oferty z treścią specyfikacji istotnych warunków

zamówienia stanowiąca przesłankę odrzucenia oferty na podstawie art. 89 ust. 1 pkt 2

ustawy Prawo zamówień publicznych zachodzi wówczas, gdy zawartość merytoryczna oferty

nie odpowiada między innymi pod względem przedmiotu zamówienia lub sposobu jego

wykonania wymaganiom zawartym w specyfikacji istotnych warunków zamówienia,

z zastrzeżeniem art. 87 ustawy Prawo zamówień publicznych. Oferta nie odpowiadająca

treści specyfikacji istotnych warunków zamówienia to taka, która jest sporządzona

odmiennie, niż określają to postanowienia specyfikacji. Odmienność ta może przejawiać się

w zakresie proponowanego przedmiotu zamówienia, jak też w sposobie jego realizacji.

Niezgodność treści oferty z treścią specyfikacji istotnych warunków zamówienia ma miejsce

w sytuacji, gdy zaoferowany przedmiot dostawy bądź też usługi, nie odpowiada opisanemu

w specyfikacji przedmiotowi zamówienia, co do zakresu, ilości, jakości, warunków realizacji

i innych elementów istotnych dla wykonania przedmiotu zamówienia w stopniu

zaspokajającym oczekiwania i interesy zamawiającego.

Tym samym dokonanie wyboru oferty wykonawcy Atende S.A. jako najkorzystniejszej

w postępowaniu, wobec zaistnienia w sprawie przesłanki odrzucenia oferty tego podmiotu,

należy uznać za całkowicie wadliwe, zarówno ze względów technicznych, jak i prawnych.

III Stanowisko Zamawiającego

Zamawiający uwzględnił oba odwołania i stwierdził, iż, wobec uwzględnienia odwołań,

popiera stanowisko Odwołujących.

IV Stanowisko Przystępującego Atende S.A.

16

Przystępujący Atende S.A. wniósł sprzeciw wobec uwzględnienia każdego z odwołań oraz

wniósł o oddalenie obu odwołań. Swoje stanowisko przedstawił obszernie w szeregu pism

procesowych oraz podczas rozprawy.

Podczas rozprawy stwierdził m.in., iż brzmienie przedmiotowego warunku udziału

w postępowaniu wskazuje, że do okresu realizacji referencyjnego zamówienia należy

włączyć również 3-letni serwis, a referencje potwierdzające należyte wykonanie zamówienia

mogą dotyczyć jego całości dopiero po upływie 3 lat serwisu, zatem nie sposób liczyć

terminu wykonania zamówienia w inny sposób, niż od końca okresu gwarancji i serwisu. Nie

tylko Atende S.A. tak zinterpretowała ww. warunek – podobnie zrobiła to spółka Asseco

wskazując, że zamówienie dotyczące Internetu dla Mazowsza zostało zakończone w grudniu

2015 r. (5-letni okres). Atende S.A. w informacji zawartej w JEDZ wskazała okres końcowy

realizacji zamówienia, natomiast okres początkowy został wskazany w tabeli przygotowanej

przez Zamawiającego, który Atende S.A. dostarczyła Zamawiającemu 24 października 2016

r. w ramach uzupełnienia dokumentów, zatem Zamawiający mógł zobaczyć, że okres

realizacji kontraktu to ponad 3 lata, widać więc, że nie jest to sama dostawa i instalacja stu

urządzeń. W odniesieniu do „dowodu nr 3” przedstawionego przez Comarch Polska S.A.

stwierdził, że nie jest to ten sam projekt, na który powołał się w niniejszym postępowaniu –

realizacja obsługi numeru 112 składała się z wielu projektów. Atende S.A. nie był też stroną

umowy z CPI MSWiA, lecz podwykonawcą wykonawcy i referencje dostał od tego podmiotu,

sama zaś umowa nie jest z roku 2013, lecz z roku 2010 r. Z brzmienia umowy wynika, że

w ramach realizacji przedmiotu umowy, w ramach gwarancji, wykonawca miał świadczyć na

rzecz Zamawiającego 700 roboczogodzin usługi konfiguracji systemu. Oznacza to, że prace

instalacyjne były prowadzone również w okresie gwarancji, więc nawet z tego punktu

widzenia nie można uznać zakończenia dostawy i instalacji urządzeń za zakończenie

realizacji zamówienia. Samo zaś zamówienie było realizowane w oparciu o art. 4 ust. 5

ustawy Prawo zamówień publicznych, zatem z wyłączeniem zastosowania procedur oraz

jawności postępowania.

W zakresie zarzutu dotyczącego niezgodności treści oferty z treścią specyfikacji istotnych

warunków zamówienia oświadczył, że w swojej ofercie nie przewiduje dostawy urządzeń

bliźniaczych połączonych w klastry – wskazuje na to chociażby cena oferty, która w takim

przypadku musiałby być podwójna. Odwołujący korzystał z tego samego dystrybutora

sprzętu co Atende S.A.

Przystępujący zaprzeczył twierdzeniom, że model 60E nie jest w stanie spełnić

przedmiotowego wymagania Zamawiającego. Stwierdził, że konfiguracja tych urządzeń jest

trudniejsza, niż konfiguracja urządzeń serii 100, które mają stosowną konfigurację domyślną,

wobec czego wielu wykonawców korzysta z urządzeń wyższego modelu. Jednak również

oferowane urządzenia pozwalają na redundancję na minimum 2 sposoby: po pierwsze tzw.

WAN-link balancing oraz, po drugie, wirtualne domeny. Można zastosować oba sposoby

17

jednocześnie. Porty fizyczne obsługiwane są przez wirtualne domeny, zatem można je

zastosować przy spełnieniu wymogu postawionego przez Zamawiającego, dotyczącego

poziomu interfejsów fizycznych urządzenia.

Stwierdził, iż istnieje możliwość skonfigurowania redundancji również dla sieci LAN. Można

zastosować dowolny interfejs oraz modemy. Możliwość zastosowania wirtualnej domeny jest

elementem platformy FortiGate, nie chodzi tu o wirtualne interfejsy. Przewidziane

rozwiązanie oparte jest o metody zawarte w dokumentacji producenta.

Urządzenie FortiGate 60E posiada 10 interfejsów fizycznych, z których każdy może być

powiązany z inną wirtualną domeną. Pomiędzy tymi interfejsami istnieje możliwość

skonfigurowania protokołu VRRP, który zapewnia te same funkcje, co para interfejsów typu

redundant. Zawiera też strukturę hardware’ową – chip trzeciej generacji, która pozwala

zrealizować połączenia między wirtualnymi domenami bez utraty wydajności urządzenia.

Przystępujący na etapie składania ofert nie musiał tłumaczyć sposobu realizacji wymagań

Zamawiającego. Rozstrzygnięcie zarzutów odnosi się do tego, czy istnieje zgodność, czy

niezgodność ze specyfikacją istotnych warunków zamówienia, a nie tego, które rozwiązanie

jest najlepsze. Zamawiający pozostawił wykonawcom dużą swobodę, jak zrealizować

wymagania. Najlepsza metoda zostanie wybrana przez Przystępującego dopiero na etapie

realizacji umowy, przy przygotowywaniu projektu technicznego.

Redundancja to konfiguracja programowa, więc nawet przy poziomie fizycznych interfejsów

urządzenia wykonuje się ją programowo. Opóźnienie następuje przy każdym sposobie

redundancji, gdyż przerwa jest sposobem na realizację ustalonego procesu decyzyjnego dla

urządzenia. Nie jest prawdą, że trzeba zastosować dodatkowe urządzenie. Protokół VRRP

powoduje, że na interfejsie widziany jest jeden adres, ponieważ sposób powiadamiania sieci

wewnętrznej jest taki sam. Wydajność platformy firewall jest wartością stałą predefiniowaną

przez producenta urządzeń FortiGate, nie zależy ona od wielkości pakietów – jest to cecha

tych urządzeń, zatem niezależnie od konfiguracji wirtualnej instancji nie następuje zjawisko

zmniejszenia wydajności platformy.

Co do niezgodności z wymogiem podpunktu 2.29 stwierdził, iż w urządzeniach FortiGate

można otrzymać definicję sygnatur ze strony Fortiguard, ale można też je samemu dopisać,

jest to cecha pozytywna, ponieważ niektóre podmioty tworzą własne aplikacje, zatem nie ma

dla nich sygnatur ogólnych.

W odniesieniu do wymogu opisanego w podpunkcie 2.30 wskazał, iż profile ochronne nie są

przywiązane do tego samego portu i tej samej aplikacji. Zastosowane są dwie oddzielne

polityki firewalla i można zastosować dwie polityki bezpieczeństwa. Decyzja: blokować,

zezwalać na dostęp czy go ograniczać, następuje dopiero po rozpoznaniu aplikacji i

porównaniu z profilem antywirusowym. Proces analizy aplikacji rozpoczyna się od procesu

stateful packed inspection, aplikacja nie jest znana na etapie nawiązywania sesji – w ramach

18

tej samej sesji może być rozpoznanych wiele aplikacji. Dla następnych rozpoznanych

aplikacji w tej samej sesji nie będzie możliwe otwarcie nowej sesji firewall.

W odniesieniu do zarzutu dotyczącego podpunktu 2.35.1 zwrócił uwagę, że urządzenie musi

mieć możliwość obsługiwania 3.000 aplikacji sieciowych, natomiast nie oznacza to, że

muszą być one zdefiniowane już w momencie składania oferty. Oferowane urządzenie

posiada wymaganą możliwość. Liczba sygnatur w Fortiguard jest zmienna, pojawiają się

nowe, znikają inne, niektóre są przypisywane do innej grupy, natomiast samo urządzenie ma

możliwość klasyfikacji i wykrywania co najmniej 3.000 aplikacji sieciowych. Zwraca uwagę,

że elementem skanowania antywirusowego jest rozpoznawanie mutacji kodów, w tym

aplikacji.

Co do wymogu z podpunktu 3.3 stwierdził, że dostęp administratorów jest oparty na

poszczególnych rolach oraz rozgraniczaniu ich uprawnień. W oferowanym rozwiązaniu

poszczególni administratorzy posiadają dostęp do poszczególnych poleceń zgodnie ze

swoimi rolami.

V Ustalenia Izby

Na wstępie Izba stwierdziła, że nie zachodzi żadna z przesłanek opisanych w art. 189 ust. 2

ustawy Prawo zamówień publicznych, skutkujących odrzuceniem któregokolwiek z odwołań

lub poszczególnych zarzutów, a Odwołujący mają interes we wniesieniu swoich odwołań.

Izba ustaliła, iż stan faktyczny postępowania (w szczególności treść specyfikacji istotnych

warunków zamówienia oraz treść ofert wykonawców Atende S.A. oraz Comarch Polska S.A.,

a także dokumentów złożonych w ramach wyjaśnień i uzupełnień) nie jest sporny między

Stronami.

Po zapoznaniu się z przedmiotem sporu oraz argumentacją Stron i Przystępujących,

w oparciu o stan faktyczny ustalony podczas rozprawy Izba ustaliła i zważyła, co następuje:

oba odwołania zasługują na uwzględnienie.

Podniesione w odwołaniu Odwołującego Comarch Polska S.A. zarzuty dotyczą:

1. zaniechania odtajnienia i udostępnienia zastrzeżonych przez Atende S.A. dokumentów:

Jednolitego Europejskiego Dokumentu Zamówienia w zakresie Części IV: Kryteria

kwalifikacji pkt C: Zdolność techniczna i zawodowa w części dotyczącej informacji na temat

wykonanych zamówień oraz informacji o osobach, które będą uczestniczyć w wykonywaniu

zamówienia oraz dokumentów potwierdzających spełnianie warunku w zakresie wiedzy

i doświadczenia oraz dotyczącego dysponowania osobami zdolnymi do wykonania

zamówienia złożonych na wezwanie Zamawiającego, a także wyjaśnień i ewentualnych

uzupełnień treści oferty oraz wyjaśnień w sprawie tajemnicy przedsiębiorstwa, pomimo że

dokumenty te nie stanowią tajemnicy przedsiębiorstwa,

19

2. zaniechania odrzucenia oferty Atende S.A. pomimo niezgodności treści oferty tego

wykonawcy z treścią specyfikacji istotnych warunków zamówienia (art. 89 ust. 1 pkt 2 ustawy

Prawo zamówień publicznych),

3. zaniechania wykluczenia Atende S.A. z postępowania, pomimo że wprowadził

Zamawiającego w błąd przy przedstawieniu informacji dotyczących spełniania warunków

udziału w postępowaniu / informacji mogących mieć istotny wpływ na decyzje podejmowane

przez Zamawiającego w postępowaniu,

4. zaniechania wykluczenia Atende S.A. z postępowania, pomimo że nie wykazał spełniania

warunków udziału w postępowaniu, ewentualnie zaniechania wezwania do uzupełnienia

dokumentów i wezwania do wyjaśnienia dokumentów potwierdzających spełnianie warunków

udziału w postępowaniu w zakresie wymaganego doświadczenia.

Pozostałe zarzuty nie mają samodzielnego charakteru i są konsekwencją stwierdzenia przez

Odwołującego ww. naruszeń.

Podniesione w odwołaniu Odwołującego S&T Services Polska Sp. z o.o. zarzuty dotyczą:

1. niezgodności treści oferty Atende S.A. z treścią punktu 1.1.1 ppkt 2.19 załącznika nr 1 do

specyfikacji istotnych warunków zamówienia „Szczegółowy opis przedmiotu zamówienia”

poprzez niespełnienie wymogu zapewnienia możliwości konfiguracji redundancji na poziomie

interfejsów fizycznych urządzenia,

2. niezgodności treści oferty Atende S.A. i oferty Comarch Polska S.A. z treścią załącznika nr

1 do specyfikacji istotnych warunków zamówienia „Szczegółowy opis przedmiotu

zamówienia” w zakresie punktów 1.1.1, 1.1.2, 1.1.3:

a) ppkt 2.29 poprzez niespełnienie wymogu możliwości tworzenia reguł firewall, w których

warunkiem jest nazwa aplikacji definiowana za pomocą sygnatury,

b) ppkt 2.30 poprzez niespełnienie wymogu możliwości przypisywania różnych profili ochrony

przed złośliwym oprogramowaniem dla różnych aplikacji, nawet jeśli pracują w tym samym

porcie,

c) ppkt 2.35.1 poprzez niespełnienie wymogu posiadania możliwości klasyfikacji ruchu

i wykrywania co najmniej 3000 aplikacji sieciowych,

d) ppkt 3.3 poprzez niespełnienie wymogu możliwości definiowania grup administratorów

z określeniem uprawnień co do poszczególnych poleceń.

W odniesieniu do zarzutu zaniechania odtajnienia i udostępnienia zastrzeżonych przez

Atende S.A. dokumentów: Jednolitego Europejskiego Dokumentu Zamówienia w zakresie

Części IV: Kryteria kwalifikacji pkt C: Zdolność techniczna i zawodowa w części dotyczącej

informacji na temat wykonanych zamówień oraz informacji o osobach, które będą

uczestniczyć w wykonywaniu zamówienia oraz dokumentów potwierdzających spełnianie

warunku w zakresie wiedzy i doświadczenia oraz dotyczącego dysponowania osobami

20

zdolnymi do wykonania zamówienia złożonych na wezwanie Zamawiającego, a także

wyjaśnień i ewentualnych uzupełnień treści oferty oraz wyjaśnień w sprawie tajemnicy

przedsiębiorstwa, pomimo że dokumenty te nie stanowią tajemnicy przedsiębiorstwa Izba

stwierdziła, że zarzut ten potwierdził się, gdyż dokumenty nieujawnione przez

Zamawiającego, a wskazane w odwołaniu nie powinny być zakwalifikowane jako stanowiące

tajemnicę przedsiębiorstwa.

Zgodnie z art. 11 ust. 4 ustawy z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej

konkurencji przez tajemnicę przedsiębiorstwa rozumie się nieujawnione do wiadomości

publicznej informacje techniczne, technologiczne, organizacyjne przedsiębiorstwa lub inne

informacje posiadające wartość gospodarczą, co do których przedsiębiorca podjął niezbędne

działania w celu zachowania ich poufności.

Jedną z kluczowych zasad zamówień publicznych jest ich jawność, która stanowi jedno

z narzędzi i gwarancji zachowania w postępowaniu zarówno uczciwej konkurencji, jak i jego

przejrzystości, a tym samym narzędzie budowania zaufania do systemu zamówień

publicznych, jak i działania państwa. Znalazła ona swój wyraz w przepisach art. 8 ustawy

Prawo zamówień publicznych. Art. 8 ust. 1 i 2 stanowią bowiem, że postępowanie

o udzielenie zamówienia jest jawne, a zamawiający może ograniczyć dostęp do informacji

związanych z postępowaniem o udzielenie zamówienia tylko w przypadkach określonych

w ustawie (nowo dodany ust. 2a jest tu nieistotny). Ustęp 3. art. 8 wskazuje w dalszej

kolejności, iż „nie ujawnia się informacji stanowiących tajemnicę przedsiębiorstwa

w rozumieniu przepisów o zwalczaniu nieuczciwej konkurencji, jeżeli wykonawca, nie później

niż w terminie składania ofert lub wniosków o dopuszczenie do udziału w postępowaniu,

zastrzegł, że nie mogą być one udostępniane oraz wykazał, iż zastrzeżone informacje

stanowią tajemnicę przedsiębiorstwa. Wykonawca nie może zastrzec informacji, o których

mowa w art. 86 ust. 4.” Pomimo braku takiego wskazania w ww. przepisie te same zasady

per analogiam stosuje się także do innych niż oferta i wniosek o dopuszczenie do udziału

w postępowaniu, dokumentów składanych przez wykonawców.

To, czy dane informacje można uznać za tajemnicę przedsiębiorstwa, podlega każdorazowo

indywidualnemu badaniu i ocenie; zależy to od ich treści i znaczenia, a także, z przyczyn

formalnych, czy taka tajemnica została zastrzeżona i czy została zastrzeżona prawidłowo.

Ustawodawca, chcąc ukrócić nadmierne i nieuzasadnione zastrzeganie przez wykonawców

wszelkich informacji, które nie mają przymiotu tajemnicy, wskazał w ww. przepisie, że samo

zastrzeżenie udostępniania informacji nie jest wystarczające, lecz wykonawca każdorazowo

musi uzasadnić – i to w sposób kwalifikowany, gdyż wręcz „wykazać” – iż zastrzeżone

informacje stanowią tajemnicę przedsiębiorstwa.

W odniesieniu do informacji podlegających ochronie zgodnie z ustawą z dnia 5 sierpnia 2010

r. o ochronie informacji niejawnych, na które powołał się Atende S.A., zasada ta powinna być

ta sama, jakkolwiek tu sytuacja dowodowa wykonawcy jest o tyle łatwiejsza, że samo

21

zastrzeżenie informacji jest sformalizowane i najczęściej nie jest dokonywane przez samego

wykonawcę, lecz przez organ szeroko pojętej administracji publicznej (wojska, Policji, Straży

Granicznej itd.). Co oczywiste też, zamawiający nie może takich informacji ujawnić, a sposób

zdjęcia z dokumentu klauzuli również uregulowany jest odnośnymi przepisami.

Przede wszystkim Izba stwierdziła, że Przystępujący Atende S.A. w sposób przekonujący nie

wykazał, iż zastrzeżone informacje stanowią tajemnicę przedsiębiorstwa. Przedstawione

uzasadnienie, zdaniem Izby, zawiera jedynie ogólnikowe i sztampowe stwierdzenia, którymi

posługuje się ogół wykonawców w takich przypadkach, a których nie można uznać za

„wykazanie” wystąpienia tajemnicy przedsiębiorstwa. Z doświadczenia Izby wynika, że

wykonawcy tego typu informacje utajniają, ujawniają, omawiają itd. kiedy jest to wygodne dla

ich sytuacji w postępowaniu przetargowym czy też postępowaniu odwoławczym. Oznacza to,

że, pomimo dokonanych zastrzeżeń, przedmiotowe informacje nie mają charakteru tajemnicy

przedsiębiorstwa, która powinna mieć jednak wymiar bardziej obiektywny.

Argumentem uzasadniającym istnienie tajemnicy przedsiębiorstwa nie może być jedynie

wskazanie, że dany przedsiębiorca jest podmiotem prywatnym i w związku z tym „życzy

sobie” zastrzec pewne informacje. Każdy podmiot – decydując się na występowanie w sferze

publicznej – musi liczyć się z tym, że wiąże się to z pewną transparentnością i obowiązkiem

informacyjnym, które nie są wymagane w obrocie prywatnym.

Należy zauważyć i podkreślić, że JEDZ to formularz urzędowy, dokument przygotowany

przez ustawodawcę, do którego wypełnienia i złożenia zobowiązani są wszyscy wykonawcy,

zawierający wymagane przez ustawodawcę informacje dotyczące wykonawców, ich

podwykonawców i podmiotów, na których potencjał się powołują, a także dostępnego im

personelu, sprzętu itd. Należy zatem przyjąć, że z założenia zawiera on informacje, które

powinny być zdaniem ustawodawcy jawne i dostępne w postępowaniu (a w każdym razie nie

są niejawne) – racjonalny ustawodawca bowiem nie zakładałby sporządzania tego typu

dokumentu z informacjami o charakterze tajemnicy przedsiębiorstwa czy innej informacji

prawnie chronionej.

Do tego, jak słusznie podniósł Odwołujący, wskazana przez Atende S.A. realizacja w ramach

budowy „ogólnopolskiej sieć teleinformatycznej na potrzeby obsługi numeru alarmowego

112” była prowadzona przez Centrum Projektów Informatycznych MSWiA w ramach

zamówień publicznych, co oznacza, że w szerokim zakresie podlegała obowiązkowemu

ujawnieniu. Powszechnie wiadome jest też, iż firmy z branży informatycznej (jak i każdej

innej), dokładnie śledzą rynek zamówień publicznych i doskonale orientują się, która firma

i jakie zamówienie uzyskała – zwłaszcza w ramach rywalizacji o dany kontrakt – albo może

być poznana przy dołożeniu stosunkowo niewielkich starań.

22

Podobnie jest w przypadku członków personelu wykonawcy – w szczególności, gdy osoby te

są stałymi pracownikami wykonawcy i posiadają wysokie, specyficzne lub poszukiwane na

rynku kwalifikacje – jeśli nawet nie sami wykonawcy, to ich pracownicy zwykle orientują się

lub mogą się dowiedzieć, jakim personelem dany wykonawca dysponuje.

Poza tym Izba wskazuje – w stosunku do ustawicznie powtarzanej przez wykonawców

argumentacji o „podkupowaniu” personelu, podwykonawców itd. – że po pierwsze argument

o łatwości podkupienia stoi w opozycji do oświadczenia o dysponowaniu daną osobą,

podmiotem, sprzętem itd., gdyż widocznie więź obligacyjna, na którą powołuje się

wykonawca, nie jest wystarczająca, by wykonawca mógł nimi dysponować na potrzeby

realizacji zamówienia. Po drugie, w stosunku do wykonawcy usiłującego „podkupić” zasoby

konkurenta może okazać się, że swoje zastosowanie znajdzie przepis art. 24 ust. 1 pkt 20

ustawy Prawo zamówień publicznych mówiący o zakłócaniu konkurencji między

wykonawcami.

Zastrzegając informacje dotyczące wykonania umowy w ramach „Ogólnopolskiej sieci

teleinformatycznej na potrzeby obsługi numeru alarmowego 112” Przystępujący Atende S.A.

powołał się na informacje podlegające ochronie zgodnie z ustawą o ochronie informacji

niejawnych, nie wykazał jednak konkretnie, które informacje zostały objęte klauzulą i czy tej

ochronie podlegają informacje wskazane w JEDZ lub dokumentach potwierdzających

należyte wykonanie zamówienia (czy to złożonych wraz z ofertą, czy uzupełnionych).

Z doświadczenia Izby wynika, że stosowną klauzulą mogą być objęte raczej dokumenty

odnoszące się do kwestii technicznych (budowy samego systemu, a zwłaszcza jego

zabezpieczeń), niż formalnych – podmiotu, który wykonywał dany etap, wartości kontraktu,

oceny jakości wykonania itp. informacji, które wskazuje się w JEDZ i tzw. „referencjach”.

Również jeśli chodzi o opis realizacji, to wykonawca nie musi (i nie powinien) wskazywać

w nim informacji wrażliwych, a jedynie te, które odnoszą się do samych elementów warunku

udziału w postępowaniu – są one tak ogólne, że trudno upatrywać się w nich jakiegokolwiek

elementu informacji niejawnej.

Tym samym, w opinii Izby, Zamawiający powinien ujawnić wskazane w odwołaniu

dokumenty, z tym zastrzeżeniem, iż powinien zachować ostrożność w zakresie

ewentualnego wystąpienia informacji niejawnych.

W odniesieniu do zarzutu zaniechania odrzucenia oferty Atende S.A. pomimo niezgodności

treści oferty tego wykonawcy z treścią specyfikacji istotnych warunków zamówienia (art. 89

ust. 1 pkt 2 ustawy Prawo zamówień publicznych) Izba stwierdziła, że zarzut ten potwierdził

się. Ze względu na to, że zarzut ten jest analogiczny do zarzutu podniesionego w odwołaniu

o sygn. KIO 2119/16, uzasadnienie zostało zwarte w dalszej części.

23

W odniesieniu do zarzutu zaniechania wykluczenia Atende S.A. z postępowania, pomimo że

wprowadził Zamawiającego w błąd przy przedstawieniu informacji dotyczących spełniania

warunków udziału w postępowaniu / informacji mogących mieć istotny wpływ na decyzje

podejmowane przez Zamawiającego w postępowaniu oraz pomimo że nie wykazał

spełniania warunków udziału w postępowaniu, ewentualnie zaniechania wezwania do

uzupełnienia dokumentów i wezwania do wyjaśnienia dokumentów potwierdzających

spełnianie warunków udziału w postępowaniu w zakresie wymaganego doświadczenia, Izba

stwierdziła, że zarzut ten potwierdził się w zakresie niewykazania spełnienia warunku udziału

w postępowaniu.

Przedmiotem zarzutu jest realizacja zamówienia w ramach projektu „Ogólnopolska sieć

teleinformatyczna na potrzeby obsługi numeru alarmowego 112” na rzecz Centrum

Projektów Informatycznych MSWiA. W dokumentach przedstawionych Zamawiającemu

podczas postępowania przetargowego Przystępujący Atende S.A. wskazał, iż realizacja ta

została zakończona 31 grudnia 2015 r., podczas gdy Odwołujący zarzucał, że dostawa

została zrealizowana w sierpniu 2013 r. (termin składania ofert upłynął 10 października 2016

r.). Podczas rozprawy Przystępujący Atende S.A. wyjaśnił, że elementy składające się na

warunek należy czytać łącznie, zatem do okresu realizacji tego zamówienia należy włączyć

również 3-letni serwis. Referencje potwierdzające należyte wykonanie zamówienia mogą

dotyczyć jego całości dopiero po upływie 3 lat serwisu, zatem nie sposób liczyć terminu

wykonania zamówienia w inny sposób, niż od końca okresu gwarancji i serwisu. Atende S.A.

w informacji zawartej w JEDZ wskazała okres końcowy realizacji zamówienia, a okres

początkowy w tabeli przygotowanej przez Zamawiającego przesłanej Zamawiającemu

24 października 2016 r. w ramach uzupełnienia dokumentów, zatem Zamawiający mógł

zobaczyć, że okres realizacji kontraktu to ponad 3 lata, widać więc, że nie jest to sama

dostawa i instalacja stu urządzeń. Poza tym przy realizacji przedmiotu umowy, w ramach

gwarancji, wykonawca miał świadczyć na rzecz Zamawiającego 700 roboczogodzin usługi

konfiguracji systemu, co oznacza, że prace instalacyjne były prowadzone również w okresie

gwarancji, więc nawet z tego punktu widzenia nie można uznać zakończenia dostawy

i instalacji urządzeń za zakończenie realizacji zamówienia.

Zamawiający oświadczył, iż 3 lata, o których mowa w warunku, liczył od momentu dostawy,

nie wliczając okresu wsparcia.

Izba stwierdziła, iż w braku wskazania przez Zamawiającego w specyfikacji istotnych

warunków zamówienia lub ogłoszenia o zamówieniu odmiennego sposobu określenia chwili,

do której odnosi się okres 3-letni, ma zastosowanie ogólnie przyjęta w praktyce

i orzecznictwie zasada, iż jest to dzień wykonania umowy w jej części zasadniczej, tj. tej,

24

której dotyczy „termin wykonania umowy”, czyli bez okresu gwarancji, rękojmi, serwisu itp.,

w tym też tzw. „wsparcia” (które w zasadzie również jest formą serwisu).

Zatem owa część „zasadnicza” umowy obejmowałaby dostawę, instalację i wdrożenie

infrastruktury sieciowej i urządzeń bezpieczeństwa sieciowego (oraz ewentualne inne

dostawy i czynności wchodzące w ramy umowy), ale nie wsparcie serwisowe czy

gwarancyjne (w szczególności jeśli jest to usługa świadczona przez producenta sprzętu,

a nie wykonawcę).

Tym samym, w ocenie Izby, Przystępujący Atende S.A. nie wykazał spełnienia warunku

udziału w postępowaniu. Jednak ze względu na to, iż Zamawiający postawił warunek

odnoszący się do różnych punktów w czasie, nie wskazując wyraźnie, do którego ma się

odnieść wykonawca, Izba stwierdziła, iż nadmierne byłoby przypisywanie Przystępującemu

Atende S.A. złożenia nieprawdziwych informacji.

Należy przy tym zauważyć, iż – niezależnie od tego, że oferta tego wykonawcy podlega

odrzuceniu, co wyłącza obowiązek zastosowania wezwania z art. 26 ust. 3 ustawy Prawo

zamówień publicznych – wykonawca ten był już wzywany w tym zakresie do uzupełnienia

dokumentów, gdyż dokumenty przedstawione wraz z ofertą nie zawierały kompletnych

wymaganych informacji. Zatem nie ma podstaw, by uznać, że wykonawca powinien

podlegać kolejnemu wezwaniu do uzupełnienia dokumentów. Należy zauważyć, że jeśli

wykonawca wraz z ofertą (lub wnioskiem o dopuszczenie do udziału w postępowaniu)

przedstawi zamawiającemu dokumenty zawierające kompletne informacje, to zamawiający

może w nich doszukać się błędów i wskazać je temu wykonawcy wzywając go do ich

usunięcia. Jeśli natomiast wymaganych dokumentów lub informacji nie ma, to takie działanie

zamawiającego jest niemożliwe, zatem to wykonawca ponosi ryzyko złożenia od razu

prawidłowo wypełnionego dokumentu z poprawnymi danymi. Nie ma bowiem podstaw do

dwukrotnego wzywania wykonawcy – najpierw do przedstawienia informacji, a następnie do

ich skorygowania.

W zakresie zarzutów dotyczących niezgodności treści oferty wykonawcy Atende S.A. oraz

oferty wykonawcy Comarch Polska S.A. ze specyfikacją istotnych warunków zamówienia, tj.

kwestii technicznych, Izba na wstępie wskazuje, iż przeprowadziła m.in. dowód z opinii

biegłego. Izba nie przeprowadziła natomiast podczas rozprawy wnioskowanego przez

Przystępującego Atende S.A. dowodu w postaci testu na sprzęcie uznając, iż brak jest na

sali rozpraw możliwości technicznych przeprowadzenia takiego testu, w tym stworzenia

odpowiedniego środowiska testowego.

W zakresie zarzutów Przystępującego Atende S.A. dotyczących sposobu przeprowadzenia

przez biegłego testów sprzętu, Izba stwierdza, iż nie ma podstaw, by podważać sposób

dokonywania badań dokonanych przez biegłego. Biegły sporządzał opinię dwukrotnie:opinia

z 31 grudnia 2016 r. oraz sporządzona na wniosek Przystępującego Atende S.A. opinia z 28

25

lutego 2017 r. z korektą z 14 marca 2017 r. Izba przekazała biegłemu wszystkie uwagi

techniczne Przystępującego z zaleceniem wzięcia ich pod uwagę przy dokonywaniu badań,

a biegły oświadczył, iż wziął je pod uwagę i podjął próby dokonania konfiguracji i działań

zgodnie ze wskazanymi przez Przystępującego metodami. Biegły oświadczył także, iż nie

w każdym przypadku udało mu się osiągnąć wskazany przez Przystępującego rezultat, co

Izba uznała za wynik negatywny. Biegły wskazał również, iż prowadził testy przy

zastosowaniu innych metod – z wynikiem pozytywnym lub negatywnym. Na podstawie

przedstawionego przez biegłego wykazu roboczogodzin, w którym ponad 60 godzin

obejmowały same testy na urządzeniach – Izba uznała też, iż nie może stwierdzić, że

dokonane badania były jedynie pobieżne i biegły rzeczywiście nie podejmował rzetelnych

prób zbadania możliwości urządzeń. Tym samym Izba uznała ww. opinię za miarodajną.

Przy podjęciu rozstrzygnięcia Izba jednak, choć oczywiście wzięła pod uwagę wyniki badań

przeprowadzonych przez biegłego, nie kierowała się wyłącznie wnioskami zawartymi w tej

opinii, która stanowiła tylko jeden z dowodów podlegający ocenie izby na takich samych

zasadach jak inne dowody. Izba w dużej mierze kierowała się wnioskami płynącymi

z przedstawionych podczas rozprawy oraz w pismach procesowych wyjaśnień Stron

i Przystępującego Atende S.A., przedstawionymi przez nich dokumentami prywatnymi

mającymi znaczenie stanowisk stron, a także odwołaniami się do dokumentacji technicznej

producenta urządzeń FortiGate, tj. firmy Fortinet. Należy uznać, że podręcznik producenta

dotyczący urządzeń, na który powoływali się Odwołujący, Przystępujący oraz biegły –

opracowanie bardzo obszerne – jest opracowaniem kompletnym w zakresie możliwości

technicznych przedmiotowych urządzeń (podobnie w przypadku opracowania dotyczącego

zastosowanego w nich oprogramowania – FortiGate FortiOS). Zdaniem Izby dokumentacja

producenta ma tu istotne znaczenie, Izba zauważa bowiem, iż niezależnie od ewentualnych

możliwości Przystępującego osiągnięcia pewnych rezultatów, nie można zaakceptować

rozwiązań, które nie zostały wskazane przez producenta, zatem nie są przez niego zalecane

ani nie bierze on za nie odpowiedzialności.

Powyższe ma zastosowanie do wszystkich zarzutów o charakterze technicznym, opisanych

poniżej.

W odniesieniu do zarzutu niezgodności treści oferty Atende S.A. z treścią punktu 1.1.1 ppkt

2.19 załącznika nr 1 do specyfikacji istotnych warunków zamówienia poprzez niespełnienie

wymogu zapewnienia możliwości konfiguracji redundancji na poziomie interfejsów fizycznych

urządzenia Izba stwierdziła, że zarzut ten potwierdził się.

W zakresie tego wymagania Odwołujący podnieśli trzy kwestie.

Po pierwsze wskazano na potencjalne zaoferowanie klastra HA zamiast pojedynczych

urządzeń jako rozwiązanie niezgodne ze specyfikacją istotnych warunków zamówienia.

26

Zamawiający potwierdził, że takie rozwiązanie byłoby niezgodne z jego oczekiwaniami.

Również Izba uznała, iż zaoferowanie klastra HA zamiast pojedynczych urządzeń byłoby

niezgodne z postanowieniami specyfikacji istotnych warunków zamówienia. Jednak

Przystępujący Atende S.A. zaprzeczył, jakoby zaoferował takie rozwiązanie, zatem kwestia

ta nie podlegała dalszym rozważaniom.

Po drugie wskazano, że redundancja nie jest osiągana na poziomie interfejsów fizycznych

urządzenia Fortigate 60E. Po trzecie, że nawet jeśli jest osiągana dla WAN, to nie jest

osiągana dla LAN, podczas gdy z wymogu Zamawiającego wynika, iż musi obejmować

zarówno sieć WAN, jak i sieć LAN.

Zamawiający nie wskazał w specyfikacji istotnych warunków zamówienia, co rozumie pod

pojęciem interfejsu fizycznego.

Samo pojęcie „interfejs” zostało zdefiniowane w art. 2 pkt 10 ustawy z dnia 16 lipca 2004 r.

Prawo telekomunikacyjne jako „układ elektryczny, elektroniczny lub optyczny,

z oprogramowaniem lub bez oprogramowania, umożliwiający łączenie, współpracę

i wymianę sygnałów o określonej postaci pomiędzy urządzeniami połączonymi za jego

pośrednictwem zgodnie z odpowiednią specyfikacją techniczną” – jakkolwiek w tym zakresie

nie toczono sporu. Kwestią sporną było to, czy – nawet jeśli redundancję uda się, choćby

częściowo, osiągnąć – będzie ona osiągana na poziomie interfejsu fizycznego urządzenia.

Z wyjaśnień składanych podczas rozprawy wynika, że redundancję można osiągnąć

zasadniczo na dwa sposoby: w warstwie sprzętowej (fizycznej) i nie-sprzętowej (wirtualnej).

Przy czym, po wysłuchaniu wyjaśnień Stron i Przystępującego Atende S.A., Izba przyjęła, że

wskazane przez Atende S.A. rozwiązania oparte o wirtualne domeny z routerem (vdom

z protokołem VRRP) i równoważenie obciążenia sieci WAN nie spełniają wymagań punktu

2.19. Potwierdziła to opinia biegłego z 31 grudnia 2016 r. str. 4, zgodnie z którą nie jest to

redundancja w warstwie sprzętowej. Podobnie w opinii z 28 lutego 2017 r. str. 2 biegły

ponownie stwierdził, że nie jest to redundancja typu sprzętowego Plug and Play, a podczas

rozprawy wyjaśnił, że wymaga zastosowania skryptów, natomiast sama ocena spełnienia

wymagania zależy od tego, jak zdefiniować pojęcie „interfejsu fizycznego”.

Izba zauważyła, że Zamawiający nie wskazał w wymaganiach standardu Plug and Play, czyli

bez konieczności ingerencji użytkownika w konfigurację sprzętową komputera, zatem

dopuszczalne jest rozwiązanie wymagające osobnego zainstalowania oprogramowania

(zresztą nie jest tak, że przy standardzie Plug and Play urządzenie nie korzysta

z oprogramowania), pod warunkiem, że oprogramowanie to będzie oprogramowaniem

dotyczącym bezpośrednio tego urządzenia (analogicznie jak oprogramowanie w standardzie

Plug and Play, lecz jeszcze nie zainstalowane) – jedynie wtedy będzie można uznać, iż

dotyczy ono warstwy sprzętowej/fizycznej.

Jednak niezależnie od powyższej kwestii dotyczącej oprogramowania, po wysłuchaniu

wyjaśnień Stron i Przystępującego Atende S.A. oraz zapoznaniu się z opinią biegłego Izba

27

przyjęła, że w urządzeniu FortiGate 60E wymagana redundancja nie jest realizowana dla

sieci LAN. Takiej możliwości nie potwierdza również powołana dokumentacja producenta

urządzeń. Tym samym cały wymóg 2.19 nie został spełniony.

W odniesieniu do zarzutów niezgodności treści oferty Atende S.A. i oferty Comarch Polska

S.A. z treścią załącznika nr 1 w zakresie punktów 1.1.1, 1.1.2, 1.1.3 ppkt 2.29 poprzez

niespełnienie wymogu możliwości tworzenia reguł firewall, w których warunkiem jest nazwa

aplikacji definiowana za pomocą sygnatury oraz ppkt 2.30 poprzez niespełnienie wymogu

możliwości przypisywania różnych profili ochrony przed złośliwym oprogramowaniem dla

różnych aplikacji nawet jeśli pracują w tym samym porcie Izba stwierdziła, że zarzuty te

potwierdziły się.

W zakresie ww. wymogów wskazano w zarzutach, iż w zaoferowanych przez Atende S.A.

i Comarch Polska S.A. urządzeniach Fortigate 60E, Fortigate 100D i Fortigate 300D nie ma

możliwości stworzenia reguły, w której warunkiem jest sygnatura aplikacji, zatem nie ma

możliwości przypisania różnych profili ochrony przed złośliwym oprogramowaniem dla

różnych aplikacji, jeżeli pracują one na tym samym porcie, a przy stworzeniu dwóch polityk

z tym samym numerem portu i dwoma różnymi profilami bezpieczeństwa, wykona się tylko

pierwsza, co zostało wskazane w dokumentacji FortiOS, tj. systemu operacyjnego urządzeń

FortiGate). W związku z powyższym urządzenia FortiGate nie umożliwiają przypisywania

różnych profili ochrony przed złośliwym oprogramowaniem dla różnych aplikacji, jeśli pracują

na tym samym porcie.

Po wysłuchaniu wyjaśnień Stron i Przystępującego Atende S.A. Izba uznała, że zarzuty te

potwierdziły się. Potwierdziła to również opinia biegłego z 31 grudnia 2016 r. str. 5 i 6, w

której biegły dokonał analizy dokumentacji producenta dotyczącej oprogramowania FortiOS

oraz opinia z 28 lutego 2017 r. str. 3 i 4.

W odniesieniu do zarzutu niezgodności treści oferty Atende S.A. i oferty Comarch Polska

S.A. z treścią załącznika nr 1 w zakresie punktów 1.1.1, 1.1.2, 1.1.3 ppkt 2.35.1 poprzez

niespełnienie wymogu posiadania możliwości klasyfikacji ruchu i wykrywania co najmniej

3000 aplikacji sieciowych Izba stwierdziła, że zarzut ten potwierdził się.

W zakresie powyższego wymogu wskazano w zarzucie, że zgodnie z informacjami

producenta dostępnymi na stronie http://heIp.fortinet.com na urządzeniach ForitGate m.in.

model 60E, 100D i 300D, pracujących pod kontrolą FortiOS aplikacje i ich aktywności są

identyfikowane poprzez FortiGuard Application Control. Baza danych FortiGuard Application

Control zawiera jednak jedynie ponad 2500 wyróżnionych sygnatur definiujących aplikacje –

na stronie https://fortiguard.com/appcontrol, na której pokazane są wszystkie wykrywane

przez FortiGuard Application Control aplikacje. Na dzień 4 listopada 2016 r. liczba aplikacji

co do których możliwe jest klasyfikowanie i wykrywanie, wynosiła 2880 (jak wynika m.in.

28

z liczb podanych w opinii biegłego powyższa liczba zmieniała się nieznacznie

w poszczególnych dniach, jednak nie osiągnęła 3.000).

Na wstępie Izba wskazuje, iż – jeśli zamawiający nie określił wymagania w odmienny

sposób, np. konieczności spełniania go na moment dostawy – obowiązuje zasada, że

wymaganie ma być spełnione w chwili składania ofert, tj. już w chwili jego zaoferowania dany

przedmiot zamówienia – czy też dokładniej: przedmiot oferty – ma spełniać wymagania

zamawiającego, a zamawiający powinien móc zweryfikować, czy tak jest w rzeczywistości.

Z wyjaśnień Stron i Przystępującego Atende S.A. wynika, zdaniem Izby – nawet bezspornie

– że system wykrywania aplikacji obecnie (tj. na dzień składania ofert) nie wykrywa i nie

klasyfikuje co najmniej 3.000 aplikacji sieciowych. Przy czym, zdaniem Izby, określenie „musi

posiadać możliwość klasyfikacji ruchu i wykrywania aplikacji” oznacza, iż możliwość ta ma

być już dostępna ze strony producenta, a nie o sam fakt, że Zamawiający ma mieć

możliwość „dopisania” sobie dodatkowych aplikacji (jakkolwiek niewątpliwie taka funkcja

może okazać się przydatna).

W odniesieniu do zarzutu niezgodności treści oferty Atende S.A. i oferty Comarch Polska

S.A. z treścią załącznika nr 1 w zakresie punktów 1.1.1, 1.1.2, 1.1.3 ppkt 3.3 poprzez

niespełnienie wymogu możliwości definiowania grup administratorów z określeniem

uprawnień co do poszczególnych poleceń Izba stwierdziła, że zarzut ten potwierdził się.

W zakresie powyższego wymogu wskazano w zarzucie, że urządzenia FortiGate 60E,

FortiGate 100D oraz FortiGate 300D nie pozwalają definiować grup administratorów

z określeniem uprawnień co do poszczególnych poleceń, a jedynie definiować uprawnienia

do zdefiniowanych grup poleceń, brak jest możliwości przydzielenia uprawnienia do

konkretnego polecania.

Na wstępie Izba stwierdziła, iż w jej ocenie wymóg „określenie uprawnień co do

poszczególnych poleceń” oznacza możliwość wyboru z listy zawierającej np. 10 poleceń ich

dowolnej liczby, np. tylko jednego albo dowolnych trzech, sześciu itd.

Opinia biegłego z 31 grudnia 2016 r., str. 7 potwierdza, iż nie ma możliwości przypisania

grupie administratorów pojedynczego wybranego polecenia. W opinii z 28 lutego 2017 r.

biegły zawarł co prawda konkluzję, że wymóg 3.3. został spełniony, jednak konkluzja ta

wydaje się przeczyć wcześniejszemu opisowi, w którym biegły powtórnie stwierdził, że różne

grupy administratorów mogą mieć różne uprawnienia, lecz w obrębie grupy mają takie same

uprawnienia (str. 4). Podczas rozprawy biegły wyjaśnił, iż konkluzja taka wynika

z faktu, że znalazł sposób na rozwiązanie tego problemu w postaci tworzenia dowolnie wielu

grup administratorów, nawet obejmujących jedną osobę i przypisywania każdej grupie

wybranych dla niej uprawnień.

Zdaniem Izby jednak owo wskazane przez biegłego rozwiązanie można uznać co najwyżej

za alternatywne funkcjonalnie do wymagań Zamawiającego, jednak nie jest ono zgodne

z postawionym wymaganiem. Po pierwsze bowiem wciąż nie zmienia faktu, że w grupie

29

administratorów (grupie, czyli zbiorze obejmującym co najmniej kilka elementów-

administratorów), nadal nie da się przypisać osobnych uprawnień. Po drugie „grupa”

z samego założenia, aby była grupą, musi obejmować więcej niż jedną osobę. Grupa to

bowiem 1) „pewna liczba jednostek skupiona w całość”; 2) „zbiorowość, której członkowie

połączeni są jakąś więzią”; 3) „zespół ludzi, np. spełniających określone zadanie” (według

Słownika języka polskiego PWN, www.sjp.pwn.pl).

Tym samym Izba uznała, że powyższy wymóg nie został spełniony.

Zgodnie z obowiązującą procedurą do stwierdzenia niezgodności treści oferty z treścią

specyfikacji istotnych warunków zamówienia, o której mowa w art. 89 ust. 1 pkt 2 ustawy

Prawo zamówień publicznych, a w konsekwencji konieczności jej odrzucenia, wystarczy

stwierdzenie takiej niezgodności choćby w jednym elemencie, zatem wystarczające jest, aby

potwierdził się jeden z zarzutów w tym zakresie.

W związku z powyższym Izba orzekła jak w sentencji uwzględniając oba odwołania.

O kosztach postępowania odwoławczego orzeczono na podstawie art. 192 ust. 9 i 10 ustawy

Prawo zamówień publicznych, stosownie do wyniku postępowania, zgodnie z § 1 ust. 1 pkt

2, § 3 i § 5 ust. 2 pkt 2 rozporządzenia Prezesa Rady Ministrów z dnia 15 marca 2010 r.

w sprawie wysokości i sposobu pobierania wpisu od odwołania oraz rodzajów kosztów

w postępowaniu odwoławczym i sposobu ich rozliczania (Dz. U. Nr 41, poz. 238 z późn.

zm.).

Przewodniczący: ……………………..…

……………………..…

……………………..…

30