Wyrok KIO 764/22

1. Oddala oba odwołania.
2. Kosztami postępowania w sprawie o sygn. akt KIO 764/22 obciąża odwołującego:

Integrated Solutions Sp. z o.o. z siedzibą w Warszawie i zalicza w poczet kosztów postępowania odwoławczego kwotę 15 000 zł 00 gr (słownie: piętnaście tysięcy złotych 00/100), uiszczoną przez odwołującego z tytułu wpisu od odwołania.

1. Kosztami postępowania w sprawie o sygn. akt KIO 804/22 obciąża odwołującego:

Integrated Solutions Sp. z o.o. z siedzibą w Warszawie i zalicza w poczet kosztów postępowania odwoławczego kwotę 15 000 zł 00 gr (słownie: piętnaście tysięcy złotych 00/100), uiszczoną przez odwołującego z tytułu wpisu od odwołania.

Stosownie do art. 579 i 580 ustawy z 11 września 2019 r. - Prawo zamówień publicznych (Dz. U. z 2019 r., poz. 2019 ze zm.) na niniejszy wyrok - w terminie 14 dni od dnia jego doręczenia - przysługuje skarga za pośrednictwem Prezesa Krajowej Izby Odwoławczej do Sądu Okręgowego w Warszawie.

Przewodniczący

...........................................................

Sygn. akt

KIO 764/22

KIO 804/22

Centrum Informatyki Resortu Finansów z siedzibą w Radomiu (dalej: Zamawiający) prowadzi na podstawie przepisów ustawy z 11 września 2019 r. Prawo zamówień publicznych (Dz. U. z 2019 r., poz. 2019, dalej: Pzp) postępowanie o udzielenie zamówienia publicznego w trybie przetargu nieograniczonego pn. „Dostawa oprogramowania do zbierania i analizy logów systemowych klasy SIEM wraz z wdrożeniem i gwarancją”, nr postępowania:

PN/39/21/GWWF. Ogłoszenie o zamówieniu zostało opublikowane 27 października 2021 r. w Dzienniku Urzędowym Unii Europejskiej pod numerem 2021/S 209-546609.

KIO 764/22

18 marca 2022 r. wykonawca Integrated Solutions Sp. z o.o. z siedzibą w Warszawie (dalej:

Odwołujący), wniósł odwołanie, w którym zaskarżył niezgodne z przepisami czynności i zaniechania Zamawiającego, zarzucając mu naruszenie art. 18 ust. 3 Pzp w związku z art. 11 ust. 2 ustawy z 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji (Dz. U. z 2020 r. poz. 1913 ze zm., dalej: Uznk), przez zaniechanie zastosowania przepisu i odtajnienie w całości treści wyjaśnień dotyczących sposobu wyliczenia ceny złożonych przez Odwołującego 5 stycznia 2022 r. - a przez to ujawnienie informacji, które stanowiły tajemnicę przedsiębiorstwa Odwołującego, mimo, że Odwołujący w terminie określonym w ustawie zastrzegł, że informacje nie mogą być udostępniane oraz należycie wykazał, że zastrzeżone informacje zawarte w tych wyjaśnieniach dotyczące wysokości ustalonych kosztów związanych z wykonaniem zamówienia, wysokości rezerw na ryzyka związane z wykonaniem zamówienia, wysokości założonego zysku, oszacowania pracochłonności i czasu zaangażowania personelu (w osobodniach) niezbędnego dla wykonania zamówienia oraz oferty partnerów handlowych, stanowiły tajemnicę przedsiębiorstwa.

Odwołujący wniósł o uwzględnienie odwołania i nakazanie Zamawiającemu:

1. unieważnienia czynności odtajnienia informacji obejmujących: a) wysokość kosztów związanych z wykonaniem zamówienia, wysokości rezerw na ryzyka związane z wykonaniem zamówienia, wysokości założonego zysku, oszacowania pracochłonności i czasu zaangażowania personelu (w osobodniach) niezbędnego dla wykonania zamówienia oraz oferty partnerów handlowych, zawartych w wyjaśnieniach Odwołującego z 5 stycznia 2022 r. i stanowiących tajemnicę przedsiębiorstwa Odwołującego w rozumieniu art. 11 ust. 2 Uznk, b) nie ujawniania informacji stanowiących tajemnicę przedsiębiorstwa Odwołującego wskazanych w uzasadnieniu odwołania.

W uzasadnieniu odwołania Odwołujący wskazał m.in.:

8 marca 2022 r. Zamawiający dokonał czynności odtajnienia informacji zastrzeżonych przez Odwołującego jako tajemnica przedsiębiorstwa w wyjaśnieniach ceny oferty z 5 stycznia 2022 r. wskazując, że uznał zastrzeżenie za nieskuteczne w rozumieniu Uznk. W ocenie Odwołującego decyzja Zamawiającego była sprzeczna z przepisami Pzp. Odwołujący w pełni wykazał zasadność zastrzeżenia.

Odwołujący w uzasadnieniu zastrzeżenia nieudostępniania informacji w sposób szczegółowy opisał do czego konkurentom mogłaby przydać się wiedza na temat sposobu działalności firmy, know-how, w zakresie metodologii i kosztów oferty. Ponadto wskazał, że „Pozyskanie tych informacji przez innych uczestników rynku skutkować będzie tym, że inni przedsiębiorcy będą w stanie określić, z jaką konkurencją spotkają się w przyszłości, ze szczególnym uwzględnieniem wysokości kalkulowanych cen. Umożliwia to innym podmiotom uzyskanie przewagi konkurencyjnej, ocenę możliwości udziału w innych postępowaniach o udzielenie zamówienia oraz udział w tych, w których Wykonawca nie mógłby brać udziału samodzielnie, ewentualnie będzie mógł brać udział jedynie w oparciu o zasoby podmiotów trzecich. To może doprowadzić do wielomilionowych strat związanych z potencjalnie utraconymi

umowami, które to Wykonawca mógłby zawrzeć, a które to nie zostałyby zawarte z powodu uzyskania przez konkurencję informacji potencjalnie dających przewagę rynkową Wykonawcy. Utrata tego know-how może więc doprowadzić do utraty wysokiej pozycji rynkowej Wykonawcy”.

I dalej, „informacje dotyczące wyliczenia ceny mają charakter indywidualnego rozwiązania nie tylko w zakresie tego jednego postępowania o udzielenie zamówienia, ale mogą być w przyszłości wykorzystane do skalkulowania innej oferty. Ewentualne różnice pomiędzy przedmiotem świadczenia w niniejszym zamówieniu oraz potencjalnymi transakcjami w przyszłości także nie obalają uzasadnienia zastrzeżenia, ponieważ wykorzystanie nawet minimalnego zakresu przedmiotowego opartego o rozwiązanie stosowane w tym postępowaniu uzasadnia w pełni dokonywane zastrzeżenie - istotą jest dążenie Wykonawcy do zapewnienia sobie możliwości wyłącznego dysponowania opracowanymi przez siebie metodami kalkulacji cen.

Zastrzeżone informacje zapewniają Wykonawcy przewagę konkurencyjną nie tylko w przedmiotowym postępowaniu, ale również na potrzeby kolejnych podobnych zamówień.

Tajemnicą przedsiębiorstwa Wykonawcy jest nie tylko dostosowanie metod kalkulowania cen do wymagań Zamawiającego dotyczących przedmiotu zamówienia w tym konkretnym postępowaniu, ale i stosowane metody same w sobie. Poznanie przez inne podmioty przyjętych przez Wykonawcę metod kalkulacji cen sprawi, że zniknie przewaga konkurencyjna Wykonawcy w kolejnych postępowaniach, co może spowodować straty Wykonawcy czy też uniemożliwić mu uzyskanie kolejnych zamówień”.

Odwołujący podkreślił, że w uzasadnieniu zastrzeżenia nieudostępniania informacji w sposób szczegółowy opisał działania, jakie z należytą starannością podjął w celu utrzymania zastrzeganych informacji w poufności.

Wskazał ponadto, że treść wyjaśnień, jako zawierająca informacje stanowiące jego tajemnicę przedsiębiorstwa była chroniona zgodnie z wewnętrznymi procedurami bezpieczeństwa obowiązującymi u Wykonawcy. Odwołujący stwierdził, że „W praktyce informacje stanowiące tajemnicę przedsiębiorstwa są chronione u Wykonawcy przez przechowywanie papierowych egzemplarzy dokumentów zawierających dane stanowiące tajemnicę przedsiębiorstwa w pomieszczeniach, do których dostęp jest kontrolowany (pomieszczenia są chronione i monitorowane, można się do nich dostać jedynie z wykorzystaniem przepustki), jak i w formie elektronicznej przez umieszczenie informacji na nośnikach danych zabezpieczonych przed nieuprawnionym dostępem za pomocą haseł, a także odpowiednim oprogramowaniem (DLP, antywirusowym, firewall). Zastrzeżone informacje nie są dostępne dla większości pracowników Wykonawcy. Wykonawca podjął konieczne działania w celu zachowania poufności tych informacji i dokumentów, w szczególności przez ograniczenie dostępu tylko dla uprawnionych pracowników lub współpracowników, zobowiązanych do zachowania tajemnicy. Wszyscy pracownicy i współpracownicy Wykonawcy zostali poinformowani o poufnym charakterze ww. informacji.

Wykonawca podjął również działania gwarantujące zachowanie poufności informacji w kontaktach z kontrahentami i klientami. Osoby zwykle zajmującym się tym rodzajem informacji w toku normalnych czynności, korzystając z powszechnie dostępnych technik i mediów, nie mogą się zapoznać z treścią zastrzeżonych informacji”.

Faktu, że do uzasadnienia zastrzeżenia nieudostępniania informacji nie został załączony wyciąg z dokumentów regulujących zasady ochrony informacji w przedsiębiorstwie Odwołującego, nie można było uznać za uchybienie podważające skuteczność zastrzeżenia.

Wobec szczegółowego opisania działań podejmowanych przez Odwołującego w celu utrzymania informacji w poufności, ewentualny wyciąg z polityk bezpieczeństwa stanowiłby powtórzenie opisu podejmowanych działań.

4 kwietnia 2022 r. Zamawiający złożył odpowiedź na odwołanie i wniósł o jego oddalenie.

W uzasadnieniu swojego stanowiska Zamawiający wskazał m. in.:

W postępowaniu ofertę złożyło trzech wykonawców, Odwołujący, Przystępujący oraz wykonawca Integrity Partners Sp. z o.o.

21 grudnia 2021 r. Zamawiający wezwał Odwołującego, do wyjaśnień rażąco niskiej ceny.

W piśmie z 5 stycznia 2022 r., Odwołujący udzielił wyjaśnień, których treść zastrzegł jako tajemnicę przedsiębiorstwa.

Po przenalizowaniu treści złożonych przez Odwołującego wyjaśnień, w szczególności części oznaczonej jako: „Zastrzeżenie Tajemnicy Przedsiębiorstwa”, Zamawiający uznał, że Odwołujący nie dokonał zastrzeżenia skutecznie, bowiem nie wykazał, że wypełnione zostały ustawowe przesłanki, o których mowa w art. 11 ust. 2 Uznk, do której odsyła, w zakresie definicji tajemnicy przedsiębiorstwa, art. 18 ust. 3 Pzp.

Jako tajemnicę przedsiębiorstwa Odwołujący zastrzegł całość wyjaśnień RNC wraz z załącznikami. W treści wyjaśnień Odwołujący przedstawił informacje dotyczące m.in.: - liczby osób, które miałyby wziąć udział w realizacji zamówienia; - kosztów pracy tych osób; - kosztów oprogramowania według ofert podwykonawców; - statusu partnerskiego nadanego przez podwykonawców; - tabeli podsumowującej, zawierającej kosztorys realizacji zamówienia podstawowego

oraz prawa opcji.

W treści wyjaśnień brak było informacji, które wskazywałyby na jakiś szczególny, specyficzny jedynie dla Odwołującego sposób kalkulacji oferty, wypracowany w ramach funkcjonowania przedsiębiorcy na rynku. W szczególności brak jest podstaw do stwierdzenia, że znajomość wyceny poszczególnych zadań, które jak wskazał sam wykonawca wynikały z Umowy, mogłyby posłużyć innym wykonawcom w przyszłości, w celu uzyskania przewagi konkurencyjnej. W treści wyjaśnień Odwołujący nie przedstawił bowiem żadnej szczególnej metody czy opracowanego przez siebie unikalnego wzoru służącego do formułowania ofert, a jedynie wskazał rozbicie ceny na poszczególne koszty. Realia rynku zmieniają się na tyle często (co przyznają sami wykonawcy), że koszty te mogą się zdezaktualizować nawet tuż po zawarciu umowy. Również same zamówienia publiczne mają różne zakresy i są udzielane w różnych momentach czasowych. Konkurencyjnym wykonawcom trudno byłoby ustalić jakiś wzór, którym posługuje się Odwołujący przy wycenach i posłużyć się nim przy następnym bliżej niesprecyzowanym postępowaniu. Tym bardziej, że Odwołujący takiego wzoru nie zaprezentował.

Odwołujący stwierdził, że możliwość wykorzystania nawet minimalnego zakresu informacji, powinna uzasadniać objęcie tych informacji ochroną należną tajemnicy przedsiębiorstwa.

Jednak ogólne stwierdzenie, że ochronie podlega bliżej nieokreślony zakres informacji wskazany hasłowo (np. kalkulacja oferty), przy jednoczesnym zastrzeżeniu całości wyjaśnień, nie pozwalał Zamawiający na identyfikację, które informacje Odwołujący miał na myśli oraz powiązanie ich z odpowiednim fragmentem uzasadnienia. Jeśli Odwołujący chciał zastrzec informacje dotyczące części składowych ceny (chociaż w ocenie Zamawiającego, na podstawie przedstawionego uzasadnienia, również w tym zakresie należałoby uznać zastrzeżenie za nieskuteczne), to powinien ograniczyć zastrzeżenie właśnie do tych informacji i jedynie do ich odnosić treść uzasadnienia oraz przedstawić odpowiednie dowody.

Tymczasem Odwołujący objął zastrzeżeniem pełną treść dokumentów, w tym samą treść uzasadnienia.

Odwołujący wskazał ponadto, że podjął szereg działań mających na celu zachowanie danych znajdujących się w wyjaśnieniach w poufności. Odniósł się on w tym zakresie wyłącznie do Uchwały Nr 2/2016 Zarządu spółki Integrated Solutions Sp. z o. o. z 31 marca 2016 r. w sprawie uchwalenia Polityki bezpieczeństwa informacji w Integrated Solutions Sp. z o. o. oraz załącznika do tej uchwały pn. „Polityka bezpieczeństwa informacji w Integrated Solutions Sp. z o. o.”. Twierdzenia te były gołosłowne. Odwołujący nie złożył Zamawiającemu wskazanej polityki. Zamawiający nie miał więc możliwości zweryfikowania prawdziwości słów Odwołującego, a w konsekwencji nie mógł stwierdzić, że spełniła się przesłanka podjęcia działań w celu zachowania danych w poufności.

Odwołujący uzasadnił tajemnicę przedsiębiorstwa zawartą w wyjaśnieniach innym dokumentem, który także został objęty taką tajemnicą. Niemniej jednak z niewiadomych przyczyn nie załączył on tego dokumentu do uzasadnienia i w konsekwencji uniemożliwił Zamawiającemu zakwalifikowanie danej informacji jako tajemnicy przedsiębiorstwa z uwagi na ww. wewnętrzne regulacje. Odwołujący nie przedstawił również dowodów na pozostałe przywołane w uzasadnieniu okoliczności, tj. że wszyscy pracownicy zostali poinformowani o poufnym charakterze informacji oraz, że pracownicy zostali zobowiązani do zachowania poufności - w tym zakresie Odwołujący mógł przedstawić chociażby zanonimizowane zobowiązanie.

KIO 804/22 21 marca 2022 r. Odwołujący Integrated Solutions Sp. z o.o. z siedzibą w Warszawie, wniósł kolejne odwołanie i zarzucił Zamawiającemu naruszenie art. 226 ust. 1 pkt 5 Pzp przez:

1. Odrzucenie oferty Odwołującego z uwagi na niezgodność treści oferty Odwołującego, podczas gdy taka niezgodność nie zachodziła, ze względu na błędne przyjęcie przez

Zamawiającego, że Odwołujący nie zaoferował wymaganych przez Zamawiającego następujących funkcjonalności: a) tworzenie reguł korelacyjnych przy użyciu zarówno narzędzi graficznych GUI, jak i języka zapytań charakterystycznego dla danego systemu SIEM (Pkt 6.2 OPZ), b) utworzenie alarmu lub zwiększenie współczynnika ryzyka związanego z obiektem uczestniczącym w zdarzeniu (użytkownik, host, port, itp.) (Pkt 6.5 OPZ), c) mechanizmy zarządzania incydentami (Pkt 6.6 OPZ), d) możliwość automatycznego reagowania na zdarzenie oraz powiadamiania administratorów (Pkt 6.7 OPZ), e) podejmowanie automatycznych akcji lub alarmowanie (Pkt 6.17 OPZ), f) współpraca z framework „Mitre ATT&CK” (Pkt 6.20 OPZ), z uwagi na to, że wykonawca, w ocenie Zamawiającego, zaoferował zbyt małą wielkość logów dla Systemu zbierania i analizy logów w module ESM Standard Edition EPS - New Model - Perpetual-ArcSight Enterprise Security Manager Standard Edition 5 000 EPS SW E-LTU mimo, że wykonawca zaoferował wystarczającą wielkość logów dla modułu ESM Standard Edition EPS - New Model Perpetual-ArcSight Enterprise Security Manager Standard Edition 5 000 EPS SW ELTU, tj. 250 GB/dzień, a moduł ten zapewniał wszystkie wyżej wymienione funkcjonalności;

1. Zaniechanie odrzucenia oferty wykonawcy Passus S.A. (dalej: Przystępujący) jako niezgodnej z warunkami zamówienia z uwagi na to, że wykonawca ten zaoferował licencje terminowe (licencja terminowa - ang. „term license”), tj. - Splunk Enterprise Term License, Splunk Enterprise Security - Term License (Pkt 4 Formularza Oferta wykonawcy Passus) na oferowane oprogramowanie podczas, gdy zgodnie z § 4 ust.

1 IPU Zamawiający oczekiwał zaoferowania licencji bezterminowych.

Odwołujący wniósł o uwzględnienie odwołania i nakazanie Zamawiającemu:

1. unieważnienia czynności wyboru oferty najkorzystniejszej;
2. unieważnienia czynności odrzucenia oferty Odwołującego;
3. odrzucenia oferty Przystępującego z uwagi na to, że jej treść jest niezgodna z warunkami zamówienia;
4. dokonania ponownej czynności badania i oceny ofert, z uwzględnieniem oferty Odwołującego
5. dokonanie ponownej czynności wyboru oferty najkorzystniejszej z uwzględnieniem oferty Odwołującego.

W toku posiedzenia niejawnego, ze względu na unieważnienie czynności wyboru najkorzystniejszej oferty 1 kwietnia 2022 r., Odwołujący oświadczył, że wycofuje zarzut nr 2 odwołania.

W uzasadnieniu podtrzymanego zarzutu odwołania Odwołujący wskazał m.in.:

Dla odrzucenia oferty, z uwagi na niezgodność jej treści z warunkami zamówienia, konieczne było stwierdzenie tej niezgodności w odniesieniu do konkretnych warunków zamówienia.

W okolicznościach sprawy nie zaistniała niezgodność oferty Odwołującego z żadnymi z wymagań określonych w warunkach zamówienia.

Zamawiający stwierdził, że uznaje treść oferty za niezgodną z warunkami zamówienia z uwagi na to, że „dla funkcjonalności wymaganych w punktach 6.2, 6.5, 6.6, 6.7, 6.17, 6.20 OPZ nie są spełnione warunki ilościowe, a w konsekwencji także jakościowe wymagane przez Zamawiającego” z uwagi na to, że „zaproponowany sposób licencjonowania powoduje brak możliwości korzystania z ww. funkcjonalności dla wymaganych przez Zamawiającego 10 000 EPS”. Jednak żadne z wymagań określonych w ww. punktach OPZ nie odnosiło się do szczególnej pojemności systemu SIEM (wielkości logów), stąd nie można było uznać,

że dla spełnienia tych wymagań zaoferowany system musiał mieć określoną, szczególną wielkość logów, w tym wyrażoną w konkretnych jednostkach np. EPS (Event per second zdarzenie na sekundę).

Skoro tak, dla oceny zgodności zaoferowanego przez Odwołującego Systemu, pod kątem wskazanych wyżej wymagań, należało przyjąć ogólne wymagania dla systemu określone przez Zamawiającego w pkt 1) we wstępnej części Tomu III SWZ (OPZ), zgodnie z którym przedmiotem zamówienia podstawowego była dostawa i wdrożenie systemu do zbierania i analizy logów klasy SIEM dla wielkości logów 10 000 EPS, 250 GB/dzień lub równoważne w ilości zbierania logów z 50 000 hostów (serwer / stacja robocza).

Wymagania powyższe dotyczyły parametrów Systemu (wielkości logów), a nie sposobu licencjonowania produktów składających się na System. Zamawiający określił parametry pojemności systemu za pomocą różnych jednostek, co wynikało nie tylko z treści wyżej przytoczonego postanowienia OPZ, lecz również z odpowiedzi Zamawiającego, w których stwierdził on, że dopuścił aby informacje w zakresie danych do zbierania logów określono w różnych jednostkach z zastrzeżeniem spełnienia wymagania przeliczalności do EPS lub GB/dzień (odp. nr 39 z 16 listopada 2021 r.).

Wynikało to również z uzasadnienia odrzucenia oferty Odwołującego, w którym Zamawiający stwierdził, że „wskazał na trzy jednostki w jakiej wyrażona ma być wielkość logów: EPS, GB/dzień, ilość hostów”. W konsekwencji, należało przyjąć, że każda z wielkości wskazanych w pkt 1 OPZ, była odrębną wartością, wyrażoną w różnych jednostkach, choć opisującą ten sam parametr.

Zamawiający nie oczekiwał, że oferowane systemy będą spełniać parametr łącznie we wszystkich jednostkach. Nie było racjonalnych podstaw po stronie wykonawcy, aby traktować wartości wyrażone w różnych jednostkach łącznie, skoro były one, ze swojej istoty, używane zamiennie. Przeczyły temu również oświadczenia dokonywane przez Zamawiającego w toku postępowania. W konsekwencji zaoferowanie przez wykonawcę Systemu, który spełniał wymaganie wielkości logów wyrażone w dowolnej jednostce - albo w EPS, albo w GB/dzień - oznaczało, że System jako taki był zgodny z wymaganiami Zamawiającego w zakresie wielkości logów.

Odwołujący zaoferował produkt spełniający wymagania Zamawiającego, gdyż licencja ESM Standard Edition EPS - New Model - Perpetual-ArcSight Enterprise Security Manager Standard Edition 5 000 EPS SW E-LTU była przeliczalna na 250 GB/dzień, a zatem wprost zgodna z wymaganiami określonymi w pkt 1 OPZ.

Skoro zaoferowana licencja spełniała wymaganie 250 GB/dzień, to spełniała też wymagania, co do parametru wielkości logów. W konsekwencji, jeśli ilościowo oferta spełniała wymagania Zamawiającego, należało uznać, że wymagania zostały spełnione również jakościowo, gdyż Zamawiający nie wskazywał, że zaoferowane oprogramowanie nie spełniało samo z siebie poszczególnych funkcjonalności, a jedynie twierdził, że nie były one spełnione, z uwagi na - w jego ocenie - zbyt małą wielkość logów.

Błędna ocena Zamawiającego, co do wielkości logów, wynikła być może z tego, że kierując swoje wezwania do wyjaśnień dotyczące treści oferty do Odwołującego skupił się jedynie na wielkości wyrażonej w EPS, nie weryfikując, czy zaoferowana licencja była zgodna z wymaganiami wyrażonymi w innych jednostkach, które określił przecież sam Zamawiający.

Wykonawca odnosił się do pytań Zamawiającego dlatego też wyjaśnienia dotyczyły wartości EPS, a nie jej przeliczenia na GB/dzień.

Gdyby Zamawiający określił wielkość 500 GB/dzień, to wykonawca zaoferowałby wyższą licencję, zamiast licencji ESM Standard Edition EPS - New Model - Perpetual-ArcSight Enterprise Security Manager Standard Edition 5 000 EPS SW E-LTU. Zamawiający nie mógł stwierdzić niezgodności treści oferty Odwołującego z warunkami zamówienia ze względu na to, w jakim modelu licencyjnym została zapewniona obsługa przez System wymaganej przez Zamawiającego wielkości logów, tj. 250 GB/dzień.

4 kwietnia 2022 r. Zamawiający złożył pisemną odpowiedź odwołanie. W zakresie zarzutu nr 1 odwołania Zamawiający wniósł o jego oddalenie i wskazał m. in.:

Po przenalizowaniu treści złożonych przez Odwołującego wyjaśnień ceny oferty z 5 stycznia 2022 r., Zamawiający 17 stycznia 2022 r., wezwał Odwołującego, w trybie art. 223 ust. 1

Pzp, do wyjaśnienia rozbieżności w zakresie oferowanych licencji zapewniających korelację

5000 EPS, zgodnie z wyjaśnieniami z 5 stycznia 2022 r. a deklaracją wykonawcy złożoną w ofercie, gdzie wskazano na licencję o ilości EPS wynoszącą 10 000.

Po zapoznaniu się z udzielonymi 21 stycznia 2022 r. wyjaśnieniami, 2 lutego 2022 r.

Zamawiając ponownie wezwał Odwołującego, w trybie art. 223 ust. 1 Pzp do wyjaśnienia oferty, zadając szereg dodatkowych pytań.

9 lutego 2022 r. Odwołujący odpowiedział na wezwanie i na podstawie tej odpowiedzi oraz w związku z treścią złożonej przez Odwołującego oferty i wyjaśnieniami ceny oferty, Zamawiający stwierdził, że oferta Odwołującego nie spełniała wymogów SWZ, w związku z czym odrzucił ją na podstawie art. 226 ust. 1 pkt 5 Pzp.

W złożonej 29 listopada 2021 r. ofercie Odwołujący zaoferował system ArcSight, na 10 000 EPS producenta Micro Focus.

W treści wyjaśnień ceny oferty, Odwołujący wskazał części składowe zaproponowanego Systemu, tj. oprogramowanie:

1. ESM Standard Edition EPS - New Model - Perpetual-ArcSight Enterprise Security Manager Standard Edition 5 000 EPS SW E-LTU,
2. Logger Standard Edition EPS - New Model - ArcSight Logger Standard Edition 10 000 EPS SW E-LTU.

Po analizie przesłanych wyjaśnień RNC Zamawiający powziął wątpliwość odnośnie spełnienia przez zaoferowane rozwiązanie wymagań postawionych przez Zamawiającego w OPZ.

Zamawiający ustalił, że rozwiązanie zaoferowane przez Odwołującego zapewnia możliwość wykorzystania wymaganych funkcjonalności, określonych w punktach 6.2, 6.5, 6.6, 6.7, 6.17, 6.20 OPZ, na poziomie niższym niż wymagane przez Zamawiającego w OPZ.

Zaproponowane przez Odwołującego rozwiązanie zakładało bowiem zapewnienie ww. funkcjonalności wyłącznie dla 50% logów (EPS-ów) z wymaganych przez Zamawiającego 10 000 EPS, z uwagi na fakt zaoferowania licencji 5000 EPS dla ESM Standard Edition EPS New Model - Perpetual-ArcSight Enterprise Security Manager Standard Edition 5000 EPS SW E-LTU, która to licencja miała zapewniać wskazane w pkt 6.2, 6.5, 6.6, 6.7, 6.17, 6.20 OPZ funkcjonalności.

Mając na uwadze powyższe wątpliwości Zamawiający na podstawie art. 223 ust. 1 Pzp 17 stycznia 2022 r. skierował do Odwołującego wezwanie o wyjaśnienie treści złożonej oferty w celu ustalenia zgodności treści oferty z wymaganiami zawartymi w OPZ. W wezwaniu Zamawiający wskazał na konieczność wyjaśnienia przez Odwołującego rozbieżności pomiędzy deklaracją Odwołującego złożoną w formularzu ofertowym, gdzie wskazano rozwiązanie zapewniające licencje gwarantujące realizacje funkcjonalności dla 10 000 EPS, a treścią złożonych wyjaśnień RNC, w treści których Odwołujący zaproponował rozwiązanie gwarantujące realizację ww. funkcjonalności dla 5000 EPS.

W odpowiedzi Odwołujący pismem z 21 stycznia 2022 r. wskazał, że: „Rodzaj zaoferowanych licencji dla ArcSight Logger Standard Edition w ilości 10 000 EPS wynika wprost z wymagań OPZ ilościowych, natomiast rodzaj licencji ArcSight Enterprise Security Manager Standard Edition w ilości 5000 EPS został dobrany przez Wykonawcę na podstawie wymagań funkcjonalnych OPZ, pytań i odpowiedzi Zamawiającego co do zakresu prac, naszych najlepszych praktyk, doświadczenia i metodyki wdrażania systemów klasy SIEM wraz z budowaniem UseCasów bezpieczeństwa w oparciu o surowe dane wejściowe ich filtrowanie, normalizacje i wykorzystanie do korelacji w czasie rzeczywistym. Tym samym Wykonawca oraz Producent, mając największą wiedzę o swoich produktach, dobrali konfigurację w pełni spełniającą wszystkie wymogi OPZ”.

Zamawiający ponownie wezwał Odwołującego do złożenia wyjaśnień pismem z 2 lutego 2022 r. W wezwaniu wskazano na konieczność doprecyzowania wcześniej udzielonych wyjaśnień w odniesieniu do funkcjonalności opisanych w punktach 6.2, 6.5, 6.6, 6.7, 6.17, 6.20 OPZ, dla których Odwołujący w ramach zaproponowanego rozwiązania zaoferował licencje ESM Standard Edition EPS - New Model - Perpetual-ArcSight Enterprise Security Manager Standard Edition 5000 EPS SW E-LTU odpowiadające za realizację ww. funkcjonalności.

W złożonych wyjaśnieniach z 9 lutego 2022 r. Odwołujący wskazał m.in., że: „(...) EPS podawany jest przez Zamawiającego jako ruch maksymalny występujący w ciągu dnia pracy / szczytu (nie mówimy tutaj o piku związanym z atakami itp. nietypowym ruchem). Bazując na doświadczeniu Wykonawcy i Producenta 10 000 EPS z wybranych źródeł nie jest generowane praktycznie nigdy w trybie ciągłej pracy - przez 24 godziny/365 dni w roku.

Typowo jest to ruch występujący maksymalnie w połowie tego okresu a w drugiej połowie

typowo stanowi 50% a niekiedy nawet 20%. Licencjonowanie systemu Micro Focus liczone jest jako mediana z ostatnich 45 dni co jest dodatkową korzyścią dla Zamawiającego bo finalnie jego ruch w godzinach szczytu może być nawet 2-3 krotnie wyższy niż maksimum zakładane przez Zamawiającego podczas, gdy w godzinach nocnych spada do 20-30 procent”.

Odwołujący błędnie założył maksymalny ruch występujący w ciągu dnia pracy, kierując się własnymi, indywidualnymi przekonaniami, niemającymi poparcia w OPZ. W dokumentacji zamówienia w żadnym miejscu nie wskazano na dopuszczalność takiej interpretacji w stosunku do zamawianego Systemu. Zamawiający miał świadomość sposobu licencjonowania produktów, co jednak nie zmieniało jego pierwotnej potrzeby, która została precyzyjnie wyartykułowana w OPZ. Tym samym Zamawiający wymagał Systemu, który będzie w stanie obsłużyć wymaganą w dokumentacji postępowania ilość EPS-ów bez względu na porę dnia. Niedopuszczalne było, aby Odwołujący samodzielnie decydował i zmieniał potrzeby Zamawiającego określone w dokumentacji postępowania.

Wobec powyższego Odwołującego zaoferował System skonstruowany w oparciu o założenia, które nie były ujęte w dokumentacji zamówienia i niezgodny z treścią tej dokumentacji - co niejako sam przyznaje w treści udzielonych wyjaśnień.

W wyjaśnieniach z 9 lutego 2022 r. Odwołujący stwierdził, że:

„Na bazie zamówienia podstawowego zaplanowany jest przez Zamawiającego ruch do platformy na poziomie 10 000 EPS do 500 GB/dzień. Do platformy Arcisght ESM będzie kierowany ruch wyselekcjonowany w ilości ~250 GB/dzień odpowiadający 5000 EPS, które wynikają ze sprawdzenia przez Wykonawcę potrzeb SWZ”.

Zamawiający podkreślił, że takie wymienne stosowanie jednostek EPS i GB/Dzień było nieprawidłowe, bowiem jednostki te nie są wymienne i są różnie rozumiane i stosowane w przypadku różnych producentów oprogramowania i w zakresie odmiennych licencji.

Zamawiający mając na uwadze różne sposoby licencjonowania produktów SIEM w opisie przedmiocie zamówienia uwzględnił wszystkie 3 sposoby licencjonowania występujące na rynku, tj. wskazał na trzy jednostki w jakiej wyrażona ma być wielkość logów: EPS, GB/dzień, ilość hostów. Taki sposób skonstruowania OPZ miał zapewnić możliwie najszerszą konkurencyjność i zapobiec wykluczeniu produktów któregokolwiek z producentów występujących na rynku, ale nie oznaczał on, że jednostki te można było swobodnie przeliczać w danej licencji.

Jednostka EPS - określa dopuszczalną ilość dostarczanych i przetwarzanych logów do systemu SIEM na sekundę. Skrót EPS oznacza: Events Per Second - czyli każdy wysłany log, niezależnie od jego wielkości jest liczony jako oddzielne zdarzenie. Z kolei jednostka GB/dzień - określa dopuszczalną wielkość dostarczanych i przetwarzanych logów w systemie SIEM w ciągu doby. Wielkość logów jest określana w gigabajtach w ciągu doby i oznacza średnią ilość danych przesłanych i przetwarzanych w systemie SIEM. Natomiast jednostka ilość hostów - określa ile urządzeń może przesyłać logi do systemu SIEM. W tym przypadku ilości przesyłanych zdarzeń lub ich wielkości nie mają znaczenia.

Do analizy potrzeb, na etapie przygotowywania zamówienia, Zamawiający brał pod uwagę m.in. sposoby licencjonowania produktów takich jak:

1. MicroFokus (ArcSight) licencjonowanie w ilości zdarzeń - EPS, 10 000 EPS,
2. IBM (QRadar) licencjonowanie w ilości zdarzeń - EPS, 10 000 EPS,
3. SPLUNK - licencjonowanie w pojemności danych 250 GB/dzień,
4. SecureVisio licencjonowanie w ilości podłączonych urządzeń 50 000 hostów (serwer / stacja robocza).

Oferta złożona przez Odwołującego, zgodnie z formularzem ofertowym została wprost określona w EPS zgodnie z warunkami licencjonowania właściwymi dla producenta wskazanego przez Odwołującego w formularzu. Zmiana sposobu licencjonowania (przyjęcie rozwiązania przeliczanego w GB/dzień) prowadziłaby do zmiany zaoferowanego Sytemu, co w konsekwencji uznać trzeba byłoby za niedozwoloną zmianę oferty po upływie terminu składnia ofert. Odwołujący nie wyjaśnił w sposób jednoznaczny jakimi kryteriami kierował się przeliczając EPS na GB/dzień. Odwołujący do przeliczenia przyjął wartość 5 000 EPS nie zaś 10 000 EPS wskazane w formularzu ofertowym.

Dla Zamawiającego zastanawiające było w kontekście tez Odwołującego (przyjęcie, że 5 000 EPS odpowiada wartości 250 GB/dzień), zaoferowanie rozwiązania które w części

zaproponowane zostało dla 10 000 EPS. Gdyby teza Odwołującego była prawidłowa, to winien on wówczas zaproponować rozwiązanie o wielkości 5 000 EPS dla całego Systemu lub też 250 GB/dzień producenta Micro Focus. W sposób oczywisty Odwołujący nie mógł tego uczynić, gdyż skutkowałoby to w pierwszym przypadku niewystarczającą wartością EPS dla rozwiązania a w drugim przypadku zaoferowaniem rozwiązania nieistniejącego na rynku.

Odwołujący dla Systemu opartego na produktach Micro Focus naprzemiennie używał sposobu licencjonowania produktów, posługując się dowolnie pojęciami EPS i GB/Dzień. Z kolei w OPZ precyzyjnie określono jednostki w jakich wyrażona ma być wielkość logów: EPS, GB/dzień, ilość hostów. Na etapie wyjaśnień oraz w złożonym odwołaniu, Odwołujący próbował udowodnić, że zaoferowany System, mimo niezgodności z warunkami licencyjnymi producenta, spełniał wymagania określone w dokumentacji postępowania.

Powyższą tezę wprost potwierdzała umowa licencyjna producenta opublikowana na stronie , gdzie wskazano, że GB/dzień nie jest już odpowiednim wskaźnikiem.

Odwołujący zaoferował System składający się z dwóch komponentów, tj. ESM Standard Edition EPS - New Model - Perpetual-ArcSight Enterprise Security Manager Standard Edition 5000 EPS SW E-LTU oraz Logger Standard Edition EPS - New Model - ArcSight Logger Standard Edition 10,000 EPS SW E-LTU.

Każdy z elementów zapewniać miał różne funkcjonalności, które jako całość tworzyłyby System do zbierania i analizy logów systemowych klasy SIEM. ESM Standard Edition EPS New Model - Perpetual-ArcSight Enterprise Security Manager Standard Edition 5 000 EPS SW E-LTU odpowiadałby za zapewnienie funkcjonalności określonych przez Zamawiającego w pkt 6.2, 6.5, 6.6, 6.7, 6.17, 6.20 OPZ. Zgodnie z wymaganiami zawartymi w dokumentach przetargowych, w szczególności zawartymi w OPZ, Zamawiający wymagał zapewnienia powyżej wskazanych funkcjonalności dla rozwiązania obsługującego 10 000 EPS. Jak natomiast wynika z wyjaśnień Odwołującego, rozwiązanie zaproponowane przez Wykonawcę zapewnia ww. funkcjonalności wyłącznie dla 5000 EPS.

Powyższe potwierdzają również przykładowe warunki licencyjne dostępne na stronie producenta: authorizations-for-securityoperations-products-standard-edition-model-and-interset-uebadocumentation.pdf Dopuszczenie rozwiązania zaoferowanego przez Odwołującego byłoby niezgodne z warunkami zamówienia oraz warunkami licencyjnymi producenta oprogramowania, bowiem w sytuacji przekroczenia ilości 5000 EPS, zaktualizowałaby się odpowiedzialność Zamawiającego z tytułu naruszenia tych warunków. Większe niż 5000 EPS wykorzystanie funkcjonalności będzie generować niezgodność z warunkami licencyjnymi, na co Zamawiający nie mógłby się zgodzić.

Rozwiązanie zaproponowane przez Odwołującego byłoby zgodne z wymaganiami zawartymi w dokumentacji postępowania wyłącznie w przypadku dostarczenia i wdrożenia produktu ESM Standard Edition EPS - New Model - Perpetual-ArcSight Enterprise Security Manager Standard Edition oraz Logger Standard Edition EPS - New Model - ArcSight Logger Standard Edition zapewniającego obsługę dla obu elementów / komponentów Systemu w ilości 10 000 EPS. Tymczasem Odwołujący samodzielnie dokonał oceny potrzeb Zamawiającego i na jej podstawie zaoferował rozwiązanie inne niż przez Zamawiającego oczekiwane.

W uzasadnieniu pisma z 9 lutego 2022 r., Odwołujący wskazał, że: „(...) ArcSight Logger Standard Edition jest elementem całej oferty Wykonawcy i sam jako element całego Systemu nie może realizować wskazanych funkcjonalności, ponieważ wszystkie wymagania OPZ są realizowane przez System zaoferowany przez Wykonawcę jako całość”. W obszernym uzasadnieniu Odwołujący wskazał, że przyjął założenia budowy przedmiotowego Systemu „na podstawie własnych wieloletnich doświadczeń jak i na bazie doświadczeń producenta Micro Focus” oraz, że „nie było naszą intencją oferowanie Zamawiającemu platformy Arcsight w ilości 10 000 EPS dla Loggera oraz 10 000 EPS dla ESM, która to konfiguracja z bardzo dużym nadmiarem spełniałaby Państwa wymagania SIWZ, ale bardzo drastycznie zwiększyłaby cenę oferty”. Tym samym Odwołujący sam przyznał, że podstawą do skonstruowania oferty było jego osobiste doświadczenie i subiektywna ocena potrzeb Zamawiającego, odbiegająca znacznie od wymagań określonych w dokumentacji postępowania.

Zamawiający wymagał dostawy i wdrożenia Systemu zapewniającego wszystkie wymienione w dokumentach Zamawiającego funkcjonalności dla wartości 10 000 EPS. Tymczasem przyjęcie zaproponowanego przez Odwołującego sposobu licencjonowania dostarczanego

oprogramowania, z przyczyn opisanych w treści pisma, spowodowałby brak możliwości korzystania z ww. funkcjonalności dla wymaganych przez Zamawiającego 10 000 EPS.

Po przeprowadzeniu rozprawy Izba, uwzględniając dokumentację przedmiotowego postępowania o udzielenie zamówienia publicznego, w tym w szczególności treść specyfikacji warunków zamówienia, jak również biorąc pod uwagę oświadczenia i stanowiska stron i przystępującego zawarte w odwołaniu, odpowiedziach na odwołania, a także wyrażone ustnie na rozprawie i odnotowane w protokole, ustaliła i zważyła, co następuje.

Izba stwierdziła, że nie została wypełniona żadna z przesłanek ustawowych skutkujących odrzuceniem odwołań, wynikających z art. 528 Pzp.

Rozpoznając odwołanie Izba przeprowadziła dowody z dokumentacji postępowania, ze szczególnym uwzględnieniem Tomu III SWZ, a także z oferty Odwołującego, korespondencji Zamawiającego z Odwołującym oraz podmiotem Micro Focus Polska sp. z o.o. z siedzibą we Wrocławiu. Izba przeprowadziła również dowody z dokumentów załączonych przez Odwołującego do odwołania.

KIO 764/22 Przedmiotem sporu była decyzja Zamawiającego o odtajnieniu wyjaśnień ceny oferty złożonych przez Odwołującego 5 stycznia 2022 r.

Ze względu na fakt, że Odwołujący objął zastrzeżeniem również uzasadnienie zastrzeżenia Izba odstąpiła od przytoczenia treści tego uzasadnienia.

8 marca 2022 r. Zamawiający poinformował o zamiarze odtajnienia zastrzeżonych przez Odwołującego jako tajemnica przedsiębiorstwa wyjaśnień cen oferty z 5 stycznia 2022 r., wyjaśnień treści oferty z 21 stycznia 2022 r. oraz z 9 lutego 2022 r. W uzasadnieniu Zamawiający wskazał m. in.:

„(.) Wykazanie przez wykonawcę, że zastrzegane informacje posiadają walor tajemnicy przedsiębiorstwa, polega na złożeniu dowodów mających postać, np. oświadczenia uzasadniającego, dlaczego określone informacje mają przymiot tajemnicy przedsiębiorstwa, w postaci przykładowo wyciągu z umów z kontrahentami zawierających postanowienia o zachowaniu określonych okoliczności w poufności. Sytuacja, w której wykonawca w ogóle nie wykazuje zasadności uznania danej informacji za tajemnicę przedsiębiorstwa lub wprawdzie takie „wykazanie” fizycznie przekazuje, jednak jego treść jest na tyle ogólnikowa, iż na ocenę zasadności stanowiska wykonawcy nie pozwala, winna prowadzić do uznania, iż zastrzeżenie informacji było nieskuteczne.

W przedmiotowym postępowaniu Wykonawca nie wykazał, że zastrzeżone informacje rzeczywiście są zachowywane w poufności. Zapewnienia Wykonawcy w postaci ogólnych twierdzeń o tym, że zastrzeżone informacje „nie zostały ujawnione do wiadomości publicznej, nie są znane osobom zwykle zajmującym się tego rodzaju informacjami, ani nie są dla tych osób łatwo dostępne, nie zostały też podane do wiadomości publicznej i osoby postronne w toku normalnych czynności nie mogą się zapoznać z ich treścią, są chronione zgodnie z wewnętrznymi procedurami bezpieczeństwa informacji stosowanymi u Wykonawcy” nie zostały poparte żadnymi dowodami i w konsekwencji pozostają jedynie oświadczeniami i deklaracjami Wykonawcy. Jakkolwiek każdy wykonawca może w chwili złożenia oferty lub wyjaśnień takie oświadczenia i deklaracje składać, to niezbędnym elementem skutecznego uznania danej informacji za tajemnicę przedsiębiorstwa jest wykazanie przesłanek z art. 11 ust. 2 uznk. Tymczasem aby je wykazać, należy np. przedstawić dokumenty, z których wynika, że konkretne informacje (te same, które zostały zastrzeżone) w konkretnych okolicznościach są dostępne wyłącznie dla ściśle określonego kręgu osób. Wykonawca nie przedstawił dowodów, np. w postaci polityki bezpieczeństwa, zobowiązania do zachowania poufności, itp. potwierdzających zawarte oświadczenia. Ograniczył się jedynie do przywołania nazw takich dokumentów (...). Zastrzegł jednak jednocześnie, że dokument ten sam w sobie stanowi tajemnicę przedsiębiorstwa. Zamawiający wskazuje, iż wprowadzenie w organizacji Polityki bezpieczeństwa nie może być utożsamiane i równoznaczne z objęciem tajemnica dokumentów składanych w toku postępowania przez Wykonawcę.

Tym samym, należy uznać, że wykonawca nie wykazał skutecznie spełnienia przesłanki z pkt 3 niniejszego pisma. Natomiast, jako że w celu objęcia informacji ochroną należną tajemnicy przedsiębiorstwa, konieczne jest wykazanie spełnienia przesłanek z pkt 1-3 łącznie, to należy uznać, że ochrona ta przedstawionym informacjom nie przysługuje.

Z przedstawionego uzasadnienia przekazanego wraz z wyjaśnieniami wynika także, że Wykonawca nie sprostał obowiązkowi skutecznego wykazania, że zastrzeżone przez niego wyjaśnienia zawierają informacje techniczne, technologiczne, organizacyjne przedsiębiorstwa lub inne informacje posiadające wartość gospodarczą (.).

Znaczna część uzasadnienia zastrzeżenia stanowi zbiór oświadczeń o charakterze ogólnym, w których przykładowo brakuje szczegółowego wyjaśnienia: do czego konkurentom mogłaby przydać się wiedza „na temat sposobu działalności firmy, know-how w zakresie metodologii i kosztów oferty oraz stosowanej marży, a w szczególności co do kształtu ofert producentów, podwykonawców”, w jaki sposób konkurenci mieliby wykorzystać tę wiedzę i w jaki sposób wykorzystanie jej wpłynęłoby na osłabienie pozycji wykonawcy, na czym polega wartość gospodarcza wskazanych ogólnie okoliczności oraz ich wpływ na przygotowaną kalkulację, z czego wynika wartość gospodarcza nazw kontrahentów, danych dotyczących usług i dostaw, potencjału firmy i faktu współpracy z danym podmiotem, z czego (z jakich dokumentów) wynika wskazana tajemnica handlowa, a także na czym polega unikalność okoliczności, wiedzy i doświadczenia, potencjału technicznego i kadrowego oraz kontaktów handlowych Wykonawcy i jak przekłada się na wartość gospodarczą (.).

W zastrzeżonych jako tajemnica przedsiębiorstwa wyjaśnieniach Wykonawca powołuje się na poufny charakter „ofert od dostawców rozwiązań”. Zauważyć jednak należy, że oferty te nie zostały uznane za poufne przez dostawcę, nie mogą zostać uznane za skutecznie zastrzeżone jako tajemnica przedsiębiorstwa (.). W treści ofert dostawców brak jest informacji dotyczącej zastrzeżenia ich poufności i wykonawca nie przedstawił w tym zakresie żadnych dowodów w związku z tym należy uznać, że również w tym zakresie przesłanki z art. 11 ust. 2 uznk nie zostały wykazane. Treść uzasadnienia Wykonawcy odwołuje się wyłącznie do oświadczenia, że zawarte w ofertach „zaproponowane warunki specjalne są warunkami dedykowanymi tylko i wyłącznie dla Wykonawcy i nie są znane innym uczestnikom rynku”. Z kolei treść ofert nie zawiera w tym zakresie żadnego oznaczenia (.).

Dodatkowo podkreślić należy, że Wykonawca objął tajemnicą przedsiębiorstwa treści ogólnodostępne, takie jak orzecznictwo Sądu Okręgowego w Katowicach z dn. 8 maja 2007 r., sygn. akt XIX Ga 167/07 (.)”.

Izba przeprowadziła dowód z uzasadnienia zastrzeżenia wyjaśnień Odwołującego z 5 stycznia 2022 r. jako tajemnicy przedsiębiorstwa i uznała, że decyzja Zamawiającego o odtajnieniu tych wyjaśnień była w pełni zasadna.

Ze względu na fakt, że - jak już wyżej wspomniano - Odwołujący zastrzegł nawet uzasadnienie zastrzeżenia tajemnicy Izba nie wskaże konkretnych fragmentów tego uzasadnienia w oparciu o które uznała, że zastrzeżenie tajemnicy było nieprawidłowe. Izba wskazuje jednak, że przytoczone wyżej uzasadnienie decyzji Zamawiającego z 8 marca 2022 r. o odtajnieniu wyjaśnień w pełni odpowiadało stanowi faktycznemu.

W ocenie Izby niedopuszczalne było utajnienie samego uzasadnienia zastrzeżenia tajemnicy przedsiębiorstwa przez Odwołującego. Zastrzeżone mogą zostać wyłącznie te informacje, które spełniają wymogi określone w art. 11 ust. 2 Uznk - samo uzasadnienie powinno być jawne, ze względu na konieczność umożliwienia wszystkim zainteresowanym podmiotom weryfikacji zasadności odstępstwa od zasady jawności w stosunku do danych objętych tajemnicą przedsiębiorstwa. Ponadto nic, co zostało przez Odwołującego zawarte w uzasadnieniu nie wykraczało poza ogólnikowe i gołosłowne stwierdzenia mające wskazywać na wypełnienie przesłanek z art. 11 ust. 2 Uznk - uzasadnienie nie zawierało żadnej informacji, która sama w sobie kwalifikowałaby się do ochrony jako tajemnica Odwołującego. Z tego też względu utajnienie uzasadnienia w ocenie Izby służyć miało wyłącznie uniemożliwieniu weryfikacji prawidłowości zastrzeżenia przez pozostałych wykonawców biorących udział w postępowaniu.

Istotne dla oceny zasadności zarzutów odwołania były też żądania Odwołującego - dążył on do utrzymania tajemnicy zawartej w wyjaśnieniach z 5 stycznia 2022 r. w zakresie wysokości kosztów związanych z wykonaniem zamówienia, wysokości rezerw na ryzyka związane z wykonaniem zamówienia, wysokości założonego zysku, oszacowania pracochłonności i czasu zaangażowania personelu (w osobodniach) niezbędnego dla wykonania zamówienia oraz oferty partnerów handlowych. Podkreślenia wymaga, że zakres zastrzeżonych w wyjaśnieniach informacji był szerszy niż w przytoczonym żądaniu, a uzasadnienie zastrzeżenia tajemnicy przedsiębiorstwa dotyczyło całych wyjaśnień, a nie ich

poszczególnych części. Z tego względu w ocenie Izby Odwołujący miał pełną świadomość, że zastrzega zbyt szeroki zakres informacji w stosunku do ewentualnych, rzeczywistych potrzeb. W toku rozprawy Odwołujący wskazał, że Zamawiający podejmując decyzję o odtajnieniu informacji zastrzeżonych przez wykonawcę winien oceniać zastrzeżenie dla każdej z tych informacji z osobna, a w konsekwencji nie odtajniać całej zastrzeżonej treści.

Tym samym Odwołujący oczekiwał, by Zamawiający w oparciu o jedno uzasadnienie zastrzeżenia całej treści wyjaśnień z 5 stycznia 2022 r. dokonywał swego rodzaju selekcji i samodzielnie decydował o tym, która z informacji podlega odtajnieniu, a która stanowi rzeczywistą tajemnicę.

Zdaniem Izby takie twierdzenie stoi w rażącej sprzeczności z art. 18 ust. 3 Pzp, zgodnie z którym nie ujawnia się informacji stanowiących tajemnicę przedsiębiorstwa w rozumieniu przepisów ustawy z dnia 16 kwietnia 1993 r. o zwalczaniu nieuczciwej konkurencji (Dz. U. z 2019 r. poz. 1010 i 1649), jeżeli wykonawca, wraz z przekazaniem takich informacji, zastrzegł, że nie mogą być one udostępniane oraz wykazał, że zastrzeżone informacje stanowią tajemnicę przedsiębiorstwa. Wykonawca nie może zastrzec informacji, o których mowa w art. 222 ust. 5.

Z treści przytoczonego przepisu jasno wynika, że jeśli wykonawca zamierza zastrzec określone informacje jako tajemnica przedsiębiorstwa, to ciążą na nim wszystkie obowiązki wynikające z wykazania zasadności tego zastrzeżenia. Rolą zamawiającego jest w tej sytuacji wyłącznie ocena sposobu i zasadności tego zastrzeżenia - zamawiający nie jest uprawniony czy obowiązany do oceny tego, które informacje stanowią rzeczywistą tajemnicę wykonawcy i obiektywnie spełniają przesłanki określone w art. 11 ust. 2 Uznk. Skoro Odwołujący w niedostateczny sposób wykazał zasadność zastrzeżenia informacji oznaczonych jako tajemnica przedsiębiorstwa, to obowiązkiem Zamawiającego było odtajnienie tych informacji, a nie ich ocena.

Z powyższych względów odwołanie podlegało oddaleniu.

KIO 804/22 Zgodnie opisem przedmiotu zamówienia zawartym na pierwszej stronie załącznika nr 3 do SWZ „Przedmiotem zamówienia jest:

1. Zamówienie podstawowe polegające na dostawie i wdrożeniu systemu (dalej:

System) do zbierania i analizy logów klasy SIEM dla wielkości logów 10 000 / EPS,

250 GB/day lub równoważne w ilości zbierania logów z 50 000 hostów (serwer / stacja robocza)

1. Zamówienia z tytułu prawa opcji polegające na dostawie licencji do oprogramowania składającego się na System u o kolejne 10 000 / EPS, 250 GB/day lub równoważne w ilości zbierania logów z 50 000 hostów (serwer / stacja robocza) - właściwe dla sposobu licencjonowania Systemu dostarczonego w ramach zamówienia podstawowego”.

Duże znaczenia dla ustalenia sposobu rozumienia powyższych postanowień przez Zamawiającego miała odpowiedź na pytanie nr 39 do treści SWZ:

„Pytanie 39 (.) Jak należy rozumieć wymienione przez Zamawiającego sformułowanie dotyczące wielkości danych do zbierania i analizy wyrażonych jako 10 000 / EPS, 250 GB/day lub równoważne w ilości zbierania logów z 50 000 hostów (serwer / stacja robocza)? Czy Zamawiający miał na myśli określenie tego parametru jako 10 000 / EPS lub 250 GB/day w zależności od modelu licencjonowania proponowanego systemu?

Odpowiedź:

Zamawiający dopuścił aby informacje w zakresie danych do zbierania logów określono w różnych jednostkach z zastrzeżeniem spełnienia wymagania przeliczalności do EPS lub GB/day”.

Punkt 6 OPZ określał wymagania funkcjonalne systemu - analizę zdarzeń bezpieczeństwa.

Z wymogów określonych w tym punkcie Zamawiający uznał, że oferta Odwołującego nie wypełniała następujących wymogów:

1. 2 System musi zapewniać tworzenie reguł korelacyjnych przy użyciu zarówno narzędzi graficznych GUI, jak i języka zapytań charakterystycznego dla danego systemu SIEM.
2. 5 Wynikiem działania reguły korelacyjnej powinno być utworzenie alarmu lub zwiększenie współczynnika ryzyka związanego z obiektem uczestniczącym w zdarzeniu (użytkownik, host, port, itp.).
3. 6 System musi zawierać mechanizmy zarządzania incydentami obejmujące co najmniej:
4. Możliwość automatycznego tworzenia incydentów na podstawie reguł alarmowych,
5. Możliwość przypisania incydentu do osoby,
6. Możliwość zmiany statusu i priorytetu incydentu,
7. Możliwość tworzenia komentarzy,
8. Możliwość automatycznego i ręcznego modyfikowania reguł alarmowych i oznaczania alarmów jako fałszywe alarmy.
9. Możliwość tworzenia wyjątków stałych i czasowych dla reguł i zdarzeń spełniających określone warunki.
10. Możliwość raportowania wydajności obsługi incydentów.
11. 7 System musi posiadać możliwość automatycznego reagowania na zdarzenie oraz powiadamiania administratorów. Musi istnieć możliwość wysłania email bezpośrednio z systemu oraz możliwość konfigurowania innych akcji w postaci skryptów, do których może być przekazywana dowolna liczba argumentów na podstawie treści alarmu.
12. 17 System musi zapewniać podejmowanie automatycznych akcji lub alarmowanie.

Dostępne akcje muszą obejmować:

1. utworzenie incydentu w Systemie,
2. wysłanie email,
3. uruchomienie skryptu i przekazanie parametrów wywoławczych,
4. integrację z systemami klasy service-desk,
5. modyfikacja list kontrolnych.
6. Rozwiązanie musi zawierać API pozwalająca na budowanie nowych akcji w tym przekazanie wybranych pól zdarzenia jako parametrów akcji.
7. 20 mechanizmy powiadamiania System musi współpracować z framework „Mitre ATT&CK”. Zaimplementowane narzędzie musi posiadać funkcjonalność w postaci analizy zdarzeń definiowanych we framework „Mitre”.

Odwołujący zgodnie z treścią oferty z 29 listopada 2021 r. zaoferował:

1. Nazwa producenta oferowanego systemu: Micro Focus,
2. Rodzaj licencji: Wieczysta,
3. Nazwa systemu: ArcSight,
4. Ilość EPS: 10 000.

Odwołujący zaznaczył przy tym, że powyższe dotyczyło zamówienia podstawowego i zamówienia opcjonalnego.

W toku oceny oferty Odwołującego Zamawiający zwrócił się do niego o wyjaśnienie ceny oferty. W odpowiedzi z 5 stycznia 2022 r. Odwołujący wskazał części składowe zaproponowanego Systemu, tj. oprogramowanie:

1. ESM Standard Edition EPS - New Model - Perpetual-ArcSight Enterprise Security Manager Standard Edition 5 000 EPS SW E-LTU,
2. Logger Standard Edition EPS - New Model - ArcSight Logger Standard Edition 10 000 EPS SW E-LTU.

17 stycznia 2022 r. Zamawiający na podst. art. 223 ust. Pzp wezwał Odwołującego do wyjaśnienia treści oferty. Zamawiający wskazał m. in.:

„Zgodnie z treścią złożonej przez Wykonawcę oferty wynika, iż wykonawca zaoferował system producenta Micro Focus, tj. system ArcSight* o ilości EPS wynoszącą 10 000. Z kolei w ww. wyjaśnieniach z dnia 5 stycznia 2022 r., w dokumencie pn. „Szczegóły oferty cenowej”, w tabeli w wierszu Wykonawca wskazał, że oferuje produkt SP-AI104 ESM Standard Edition EPS New Model Perpetual ArcSight Enterprise Security Manager Standard Edition 5000 EPS SW E-LTU (...).

Zamawiający prosi o wyjaśnienie rozbieżności w zakresie oferowanych licencji zapewniających korelację 5000 EPS, zgodnie z wyjaśnieniami z dnia 5 stycznia 2022 r. a deklaracją wykonawcy złożoną w ofercie, gdzie wskazano na licencję o ilości EPS wynoszącą 10 000”.

Odpowiedź Odwołującego z 21 stycznia 2022 r. stanowiła potwierdzenie realizacji zadeklarowanych parametrów przez oba ww. komponentów, a w konsekwencji przez system, którym miały tworzyć.

W kolejnym wezwaniu do wyjaśnień skierowanym 2 lutego 2022 r. do Odwołującego Zamawiający zawarł szereg szczegółowych pytań w zakresie oferowanego systemu, jego parametrów oraz funkcjonalności. W tym samym dniu Zamawiający skierował również pismo zawierające szereg pytań do Micro Focus Polska sp. z o.o. z siedzibą we Wrocławiu.

Zamawiający zadał temu podmiotowi m. in. pytanie: „Czy przy zaoferowanych ilościach licencji 10 000 EPS na ArcSight Logger Standard Edition oraz 1 000/5 000 EPS na ArcSight Enterprise Security Manager Standard Edition zgodne z licencjonowaniem produktu jest analizowanie wszystkich dostarczanych do systemu logów, korelowanie ich według frameworka „Mitre ATT&CK” oraz definiowanie przeanalizowanych zdarzeń według tego framework dla logów na poziomie 10 000 EPS (10 000 to stała ilość przyjmowanych logów w ciągu doby przez 365 dni w roku) dla postępowania podstawowego i 20 000 EPS dla postępowania opcji?”.

O ile Odwołujący w udzielił szczegółowych wyjaśnień i odniósł się do każdego z zadanych mu pytań, o tyle podmiot reprezentujący producenta oprogramowania nie odpowiedział Zamawiającemu jednoznacznie na zadane pytania, w tym zacytowane wyżej. Wykonawca ten skoncentrował się raczej na podważaniu zasadności skierowanego do niego pisma i prawidłowości działań Zamawiającego w postępowaniu.

11 marca 2022 r. Zamawiający poinformował o wyborze najkorzystniejszej oferty w postępowaniu oraz o odrzuceniu oferty Odwołującego z postępowania. W uzasadnieniu odrzucenia Zamawiający wskazał m. in.:

„W treści złożonych wyjaśnień z dnia 09.02.2022 r. Wykonawca 2 wskazuje, że: „(.) EPS podawany jest przez Zamawiającego jako ruch maksymalny występujący w ciągu dnia pracy / szczytu (nie mówimy tutaj o piku związanym z atakami itp. nietypowym ruchem). Bazując na doświadczeniu Wykonawcy i Producenta 10 000 EPS z wybranych źródeł nie jest generowane praktycznie nigdy w trybie ciągłej pracy - przez 24 godziny/365 dni w roku.

Typowo jest to ruch występujący maksymalnie w połowie tego okresu a w drugiej połowie typowo stanowi 50% a niekiedy nawet 20%. Licencjonowanie systemu Micro Focus liczone jest jako mediana z ostatnich 45 dni co jest dodatkową korzyścią dla Zamawiającego bo finalnie jego ruch w godzinach szczytu może być nawet 2-3 krotnie wyższy niż maksimum zakładane przez Zamawiającego podczas, gdy w godzinach nocnych spada do 20-30 procent”. Wykonawca 2 błędnie założył maksymalny ruch występujący w ciągu dnia pracy, kierując się własnymi, indywidualnymi przekonaniami, niemającymi poparcia w OPZ.

W dokumentacji zamówienia w żadnym miejscu nie wskazano na dopuszczalność takiej interpretacji w stosunku do zamawianego Systemu. Zamawiający ma świadomość sposobu licencjonowania produktów, co jednak nie zmienia jego pierwotnej potrzeby, która została precyzyjnie wyartykułowana w OPZ. Tym samym Zamawiający wymagał Systemu, który

będzie w stanie obsłużyć wymaganą w dokumentacji postępowania ilość EPS-ów bez względu na porę dnia. Niedopuszczalne jest, aby Wykonawca 2 samodzielnie decydował i zmieniał potrzeby Zamawiającego określone w dokumentacji postępowania. Wobec powyższego zaoferowany przez Wykonawcę 2 System został skonstruowany w oparciu o założenia, które nie były ujęte w dokumentacji zamówienia. Powyższe wskazuje zatem, że Wykonawca 2 zaoferował rozwiązanie, które nie odpowiada wymaganiom jakie postawił Zamawiający względem zamawianego Systemu.

Ponadto w wyjaśnieniach z dnia 9.02.2022 r. Wykonawca 2 stwierdził, że: „Na bazie zamówienia podstawowego zaplanowany jest przez Zamawiającego ruch do platformy na poziomie 10 000 EPS do 500 GB/ Dzień. Do platformy Arcisght ESM będzie kierowany ruch wyselekcjonowany w ilości ~250 GB/dzień odpowiadający 5000 EPS, które wynikają ze sprawdzenia przez Wykonawcę potrzeb SWZ”. Wykonawca 2 dla Systemu opartego na produktach Micro Focus naprzemiennie używa takiego sposobu licencjonowania produktów klasy SIEM, który pozornie odpowiada wymaganiom Zamawiającego, posługując się dowolnie pojęciami EPS i GB/Dzień, co jest niezgodne z umową licencyjną producenta opublikowaną na stronie forsecurity-operations-products-standard-edition-model-and-interset-uebadocumentation.pdf. Zamawiający mając na uwadze różne sposoby licencjonowania produktów SIEM w przedmiocie zamówienia uwzględnił wszystkie 3 sposoby licencjonowania, tj. wskazał na trzy jednostki w jakiej wyrażona ma być wielkość logów: EPS, GB/day, ilość hostów. Taki sposób skonstruowania OPZ miał zapewnić możliwie najszerszą konkurencyjność i zapobiec wykluczeniu produktów któregokolwiek z producentów występujących na rynku (.).

Zgodnie z wymaganiami zawartymi w dokumentach przetargowych, w szczególności zawartymi w OPZ, Zamawiający wymagał zapewnienia powyżej wskazanych funkcjonalności dla rozwiązania obsługującego 10 000 EPS. Jak natomiast wynika z wyjaśnień Wykonawcy 2, rozwiązanie zaproponowane przez Wykonawcę 2 zapewnia ww. funkcjonalności wyłącznie dla 5000 EPS. Ustalenia te dokonano w oparciu o warunki licencyjne ESM Standard Edition EPS - New Model - Perpetual-ArcSight Enterprise Security Manager Standard Edition 5 000 EPS SW E-LTU opisane na stronie producenta Zamawiający zwraca uwagę, iż dopuszczenie takiego rozwiązania do wykorzystania, w sytuacji przekroczenia ilości 5000 EPS, nakłada na Zamawiającego odpowiedzialność z tytułu naruszenia warunków licencyjnych producenta. Większe niż 5000 EPS wykorzystanie funkcjonalności będzie generować niezgodność z warunkami licencyjnymi, na co Zamawiający zgodzić się nie może.

W tym miejscu warto podkreślić, że rozwiązanie zaproponowane przez Wykonawcę 2 byłoby zgodne z wymaganiami zawartymi w dokumentacji postępowania wyłącznie w przypadku dostarczenia i wdrożenia produktu ESM Standard Edition EPS - New Model PerpetualArcSight Enterprise Security Manager Standard Edition oraz Logger Standard Edition EPS - New Model - ArcSight Logger Standard Edition zapewniającego obsługę dla obu elementów / komponentów Systemu w ilości 10 000 EPS (.).

W obszernym uzasadnieniu Wykonawca 2 wskazał, że przyjął założenia budowy przedmiotowego Systemu „na podstawie własnych wieloletnich doświadczeń jak i na bazie doświadczeń producenta Micro Focus” oraz, że „nie było naszą intencją oferowanie Zamawiającemu platformy Arcsight w ilości 10 000 EPS dla Loggera oraz 10 000 EPS dla ESM, która to konfiguracja z bardzo dużym nadmiarem spełniałaby Państwa wymagania SIWZ, ale bardzo drastycznie zwiększyłaby cenę oferty”. Tym samym wskazując, iż podstawą do skonstruowania oferty jest jego osobiste doświadczenie i subiektywna ocena potrzeb Zamawiającego, odbiegająca znacznie od wymagań określonych w dokumentacji postępowania. Zamawiający wymagał dostawy i wdrożenia Systemu zapewniającego wszystkie wymienione w dokumentach Zamawiającego funkcjonalności dla 10 000 EPS.

Z kolei Wykonawca 2 w sposób nieuprawniony uznał, że może zmodyfikować potrzeby funkcjonalne Zamawiającego proponując rozwiązanie zapewniające niektóre funkcjonalności dla 5000 EPS (w ramach zamówienia podstawowego) (...).

Wykonawca 2 proponuje rozwiązanie zakładające filtrowanie logów, które w konsekwencji pozwala mu zaproponować mniejszą ilość EPS dla modułu ESM (Standard Edition EPS New Model - Perpetual-ArcSight Enterprise Security Manager Standard Edition), co uzasadnia subiektywną opinią na temat potrzeb Zamawiającego. Tym samym narzuca Zamawiającemu ograniczenie przetwarzania ilości EPS w tym module i odrzucanie logów, które jego zdaniem są niepotrzebne. Zauważyć należy, że w żadnym punkcie OPZ Zamawiający nie wskazywał, aby przetwarzane dane miały być w jakikolwiek sposób ograniczane, czy też filtrowane. Poza tym Wykonawca 2 informuje, że traktując produkt całościowo spełnia wszystkie wymagania postępowania. Zamawiający jednak wykazuje, że

dla funkcjonalności wymaganych w punktach 6.2, 6.5, 6.6, 6.7, 6.17, 6.20 OPZ nie są spełnione warunki ilościowe, a w konsekwencji także jakościowe wymagane przez Zamawiającego. Oba moduły oferowane przez Wykonawcę 2 mają inne funkcjonalności, dlatego też Wykonawca 2 próbuje udowodnić, że dopiero wdrożenie ich jednocześnie spełni wszystkie pożądane przez Zamawiającego wymagania. Jednak zaproponowany sposób licencjonowania powoduje brak możliwości korzystania z ww. funkcjonalności dla wymaganych przez Zamawiającego 10 000 EPS”.

Biorąc pod uwagę powyższe Izba uznała, że odrzucenie z postępowania oferty Odwołującego było zasadne. Podkreślić przy tym należy, że Zamawiający - mimo bardzo obszernego i szczegółowego uzasadnienia dokonanej czynności - nie dość wyraźnie zaakcentował okoliczność najbardziej istotną dla sprawy, a mianowicie warunki licencjonowania zaoferowanych przez Odwołującego produktów. Zamawiający, co zostało ujęte w zacytowanej części uzasadnienia odrzucenia oferty Odwołującego, podał jedynie linki do licencji, które w ocenie Izby miały kluczowe znaczenie w sprawie. Zgodnie z tymi dokumentami, produkty zaoferowany przez Odwołującego nie są licencjonowane w oparciu o parametr Gb/dzień, a EPS. W konsekwencji Zamawiający mógł mieć pewność co do tego, że zaoferowane mu oprogramowanie - w zależności od komponentu - spełnia odpowiednio parametr 10 000 EPS i 5 000 EPS, natomiast parametr 250 Gb/dzień był parametrem jedynie deklarowanym przez Odwołującego. W toku wyjaśnień oferty Odwołujący również nie był w stanie wykazać w sposób wiarygodny, że parametr 250 Gb/dzień dla systemu faktycznie zostanie zrealizowany. Biorąc pod uwagę treść przytoczonej wyżej odpowiedzi na pytanie nr 39 do treści SWZ oczywistym było, że w takiej sytuacji Zamawiający musiałby uznać ofertę Odwołującego za prawidłową - wymóg OPZ dotyczący parametrów systemu to 10 000 EPS lub 250 Gb/dzień, zatem spełnienie choćby jednego z tych parametrów czyniłoby zadość wymogom SWZ. Tymczasem odpowiedzialny za realizację funkcjonalności wskazanych w punktach 6.2, 6.5, 6.6, 6.7, 6.17, 6.20 OPZ komponent miał licencję do 5 000 EPS, a Odwołujący w żaden wiarygodny sposób nie wykazał Zamawiającemu, że zrealizowany zostanie przy tym parametr 250 Gb/dzień.

W konsekwencji Zamawiający nie mógł uznać, że deklarowany parametr 250 Gb/dzień rzeczywiście zostanie zrealizowany, a parametr wyrażony w EPS nie odpowiadał wymogom OPZ.

Powyższej oceny zdaniem Izby nie zmienia złożony przez Odwołującego jako dowód załącznik nr 6 do odwołania, tj. oświadczenie producenta oprogramowania ArcSight Enterprise Security Manager. Podmiot ten miał możliwość udzielić Zamawiającemu odpowiedzi na zadane mu 2 lutego 2022 r., ale tego nie zrobił. Gołosłowne oświadczenie tego podmiotu złożone na etapie postępowania odwoławczego nie może tym samym stanowić obecnie dowodu na nieprawidłowy sposób oceny oferty Odwołującego, w szczególności, że sprowadza się ono jedynie do deklaracji, iż 5 000 EPS przeliczane jest na wielkość logów 250 GB/dzień. W ocenie Izby sposób w jaki Zamawiający dokonał badania i oceny oferty Odwołującego był prawidłowy i przeprowadzony z zachowaniem należytej staranności. Z tego względu Izba uznała ustalenia Zamawiającego za prawidłowe.

Mając na uwadze powyższe Izba orzekła jak w sentencji.

Przewodniczący

...........................................................

26