Decizie CNSC 830/2022

Str. Stavropoleos nr. 6, Sectorul 3, București, România, CP 030084, CIF 20329980, Tel. +40-21-3104641, Fax. +40-21-3104642, Fax. +40-21-8900745, e-mail: office@cnsc.ro, www.cnsc.ro, http://portal.cnsc.ro În conformitate cu prevederile art. 12 alin. (1) și ale art. 27 alin. (1) din Legea nr. 101/2016 privind remediile și căile de atac în materie de atribuire a contractelor de achiziție publică, a contractelor sectoriale și a contractelor de concesiune de lucrări și concesiune de servicii, precum și pentru organizarea și funcționarea Consiliului Național de Soluționare a Contestațiilor, Consiliul adoptă următoarea DECIZIE Nr. 830/C7/690 Data: 18.04.2022 Prin contestația cu nr. 1330/21.03.2022, înregistrată la Consiliul Național de Soluționare a Contestațiilor cu nr. 14685/21.03.2022, formulată de către SOFTWARE IMAGINATION & VISION S.R.L., cu sediul în București, Șos. București-Ploiești nr. 73-81, Victoria Park, Corp Clădire C4, parter, Zona B, sectorul 1, înmatriculată la Oficiul Registrului Comerțului sub nr. J40/16321/2019, având CUI RO41963989, împotriva documentației de atribuire elaborată de către DIRECȚIA GENERALĂ DE ASISTENȚĂ SOCIALĂ și PROTECȚIA COPILULUI SECTOR 6, cu sediul în București, str. Cernișoara nr. 38-40, sector 6, în calitate de autoritate contractantă, în cadrul procedurii de licitație deschisă, organizată în vederea atribuirii contractului de servicii, având ca obiect „Achiziție de servicii de digitalizare, arhivare electronică și fizică”, se solicită remedierea aspectelor din documentația de atribuire astfel încât să permită derularea procedurii în condiții de concurență reală, în subsidiar anularea procedurii de atribuire în cazul în care nu se mai pot adopta măsuri de remediere, suspendarea procedurii de atribuire până la soluționarea contestației. Asupra capătului de cerere privind suspendarea procedurii solicitată de către contestatorul SOFTWARE IMAGINATION & VISION S.R.L., Consiliul s-a pronunțat prin încheiere. Procedura de soluționare în fața Consiliului s-a desfășurat în scris. CONSILIUL NAȚIONAL DE SOLUȚIONARE A CONTESTAȚIILOR, asupra cauzei de față, constată următoarele: ............................................................................................ Pagina 1 din 2

Pentru aceste motive, în baza legii și a mijloacelor de probă aflate la dosar, CONSILIUL DECIDE: Respinge contestația formulată de către SOFTWARE IMAGINATION & VISION S.R.L., cu sediul în București, Șos. București-Ploiești nr. 73-81, Victoria Park, Corp Clădire C4, parter, Zona B, sectorul 1, în contradictoriu cu DIRECȚIA GENERALĂ DE ASISTENȚĂ SOCIALĂ și PROTECȚIA COPILULUI SECTOR 6, cu sediul în București, str. Cernișoara nr. 38-40, sector 6, ca nefondată. Prezenta decizie este obligatorie pentru părți. Împotriva prezentei decizii se poate formula plângere, în termen de 10 zile de la comunicare pentru părțile cauzei, respectiv de la data luării la cunoștință de către alte persoane vătămate. Pagina 2 din 2

Str. Stavropoleos nr. 6, Sectorul 3, București, România, CP 030084, CIF 20329980, Tel. +40-21-3104641, Fax. +40-21-3104642, Fax. +40-21-8900745, e-mail: office@cnsc.ro, www.cnsc.ro, http://portal.cnsc.ro În conformitate cu prevederile art. 12 alin. (1) și ale art. 27 alin. (1) din Legea nr. 101/2016 privind remediile și căile de atac în materie de atribuire a contractelor de achiziție publică, a contractelor sectoriale și a contractelor de concesiune de lucrări și concesiune de servicii, precum și pentru organizarea și funcționarea Consiliului Național de Soluționare a Contestațiilor, Consiliul adoptă următoarea DECIZIE Nr. ... Data: ... Prin contestația cu nr. 1330/21.03.2022, înregistrată la Consiliul Național de Soluționare a Contestațiilor cu nr. 14685/21.03.2022, formulată de către ... S.R.L., cu sediul în ..., înmatriculată la Oficiul Registrului Comerțului sub nr. ..., având CUI ..., împotriva documentației de atribuire elaborată de către ..., cu sediul în ..., în calitate de autoritate contractantă, în cadrul procedurii de licitație deschisă, organizată în vederea atribuirii contractului de servicii, având ca obiect „Achiziție de servicii de digitalizare, arhivare electronică și fizică”, se solicită remedierea aspectelor din documentația de atribuire astfel încât să permită derularea procedurii în condiții de concurență reală, în subsidiar anularea procedurii de atribuire în cazul în care nu se mai pot adopta măsuri de remediere, suspendarea procedurii de atribuire până la soluționarea contestației. Asupra capătului de cerere privind suspendarea procedurii solicitată de către contestatorul ... S.R.L., Consiliul s-a pronunțat prin încheiere. Procedura de soluționare în fața Consiliului s-a desfășurat în scris. CONSILIUL NAȚIONAL DE SOLUȚIONARE A CONTESTAȚIILOR, asupra cauzei de față, constată următoarele: Consiliul a fost legal sesizat și este competent, potrivit dispozițiilor art. 12 alin. (1) din Legea nr. 101/2016, să soluționeze contestația de față, prin care ... S.R.L., contestă documentația de atribuire cu privire la unele cerințe din Caietul de sarcini, din cadrul procedurii antemenționată organizată de către ...., solicitând remedierea acestora, după caz. Pagina 1 din 25

Prin contestația cu nr. 1330/21.03.2022, înregistrată la Consiliul Național de Soluționare a Contestațiilor cu nr. 14685/21.03.2022, ... S.R.L. critică prevederi din Caietului de sarcini, susținând că unele aspecte nu respectă normele legale în vigoare, respectiv, Legea 98/2016 cu modificările și completările ulterioare, după cum urmează: I. Cu privire la cerințele referitoare la aplicație, din Caietul de Sarcini, pagina 16, de la Capitolul III. SPECIFICAȚII TEHNICO FUNCȚIONALE ALE SISTEMULUI DE ARHIVARE ELECTRONICĂ A DOCUMENTELOR, respectiv: „(...) Toate funcționalitățile aplicației, solicitate prin caietul de sarcini, trebuie să existe în sistem la momentul depunerii ofertei (Out Of The Box) și pot fi verificate de Autoritatea Contractantă în faza de ofertare. Nu se accepta dezvoltări suplimentare pentru îndeplinirea cerințelor.(...)" Petentul consideră că, în conformitate cu Art. 2 din Legea 98/2016 ”(1) Scopul prezentei legi îl constituie asigurarea cadrului legal necesar pentru a realiza achiziționarea de bunuri, servicii și lucrări în condiții de eficiență economică și socială. (2) Principiile care stau la baza atribuirii contractelor de achiziție publică și a organizării concursurilor de soluții sunt: a) nediscriminarea; b) tratamentul egal; c) recunoașterea reciprocă; d) transparența; e) proporționalitatea; f) asumarea răspunderii." și Art. 31 din Legea 98/2016 „(1) Autoritatea contractantă nu are dreptul de a restricționa participarea la procedura de atribuire a contractului de achiziție publică prin introducerea unor criteriile minime de calificare, care: a) nu prezintă relevanță în raport cu natura și complexitatea contractului de achiziție publică ce urmează să fie atribuit; b) sunt disproporționate în raport cu natura și complexitatea contractului de achiziție publică ce urmează a fi atribuit.", Cerința ”Toate funcționalitățile aplicației, solicitate prin caietul de sarcini, trebuie să existe în sistem la momentul depunerii ofertei (Out Of The Box)", este restrictivă, disproporțională și discriminatorie și nu trebuie să aibă ca efect introducerea unor obstacole nejustificate de natură să restrângă concurenta între operatorii economic, deoarece: - Un număr limitat de operatori economici au o aplicație gata de utilizare care răspunde 100% la cerințele tehnice și funcționale din caietul de sarcini; iar - Un operator care are o aplicație care presupunând că răspunde în proporție de 95% la cerințele tehnice și funcționale nu poate participa, deși adaptarea aplicației ca să fie 100% conformă cerințelor poate necesita un efort mic (ca durata de timp) și care nu ar avea impact asupra calității execuției contractului sau a duratei de execuție; și - Prin cerințele din prezenta documentație de atribuire efortul de adaptare a aplicației ar trebui făcut ANTERIOR depunerii ofertei și nu ULTERIOR semnării contractului, așa cum ar fi normal, Pagina 2 din 25

Fapt ce conduce la cheltuieli nejustificate de resurse umane și materiale înainte de momentul depunerii ofertei, care nu vor putea fi acoperite de către ofertanții a căror ofertă a fost respinsă sau declarată necâștigătoare, chiar dacă a fost declarată conformă și admisibilă, susține contestatorul. Cerințele trebuie să permită oricărui ofertant interesat să participe la procedura de atribuire a contractului de achiziție publică, și să îi ofere posibilitatea de a depune o oferta competitivă, opinează autorul. În consecință, petentul solicită eliminarea din Caietul de Sarcini a cerinței învederate. II. Având în vedere cerințele privind resursele umane din Caietul de Sarcini, Capitolul IV. CERINȚE OBLIGATORII PENTRU FURNIZORUL DE SERVICII, respectiv: "(...) Expertul cheie: F) Expert calitate și securitate informatică (1 persoana): se solicită, între altele, următoarele: • Absolvent de studii superioare în domeniul tehnic • Cunoștințe privind managementul proiectelor, dovedite prin prezentarea unei diplome/certificări emisă de o instituție recunoscută național sau internațional • Cunoștințe în domeniul securității informației dovedite prin certificare profesională emisă de o instituție recunoscută la nivel național sau internațional sau certificare echivalentă în domeniul auditării securității informației în conformitate cu standardul ISO 27001, sau echivalent, pentru Sistemele de Management ale securității Informației • Cunoștințe în domeniul managementului securității sistemelor informatice privind aplicarea conceptelor, instrumentelor și procedurilor de securitate cu scopul de a preveni și combate incidentele de securitate, dovedite prin prezentarea unei diplome/certificări emisă de o instituție recunoscută național/internațional • Competențe privind auditul sistemelor informatice, dovedite prin prezentarea unei diplome/certificări emisă de o instituție recunoscută național/ internațional • Competențe privind managementul Serviciilor IT, dovedite prin prezentarea unei diplome/certificări emisă de o instituție recunoscută național/internațional • Certificare privind cunoștințe în domeniul calității recunoscută la nivel național/internațional • Certificare privind calitatea de responsabil cu protecția datelor cu caracter personal sau altă certificare internațională privind competențe în implementarea Regulamentului (UE) 679/2016 al Parlamentului European (GDPR) • Experiență în cel puțin 1 proiect similar (prin proiect similar se înțelege implementarea unei soluții software de arhivare electronică a documentelor și servicii de arhivare electronică) ca expert calitate și securitate informatică. (...)", în conformitate cu art. 2 din INSTRUCȚIUNE ANAP Nr. 2/2017: Pagina 3 din 25

” (1) Autoritatea contractantă are dreptul de a stabili prin documentele achiziției cerințe privind capacitatea tehnică și profesională care sunt necesare și adecvate pentru a se asigura că operatorii economici dețin resursele umane și tehnice și experiența necesare pentru a executa contractul de achiziție publică/acordul cadru la un standard de calitate corespunzător. (2) Cerințele privind capacitatea tehnică și profesională stabilite de autoritatea contractantă pot viza în special existența unui nivel corespunzător de experiență, prin raportare la contractele executate în trecut." , coroborat cu art. 178 din legea nr. 98/2016: ” (1) Autoritatea contractantă are dreptul de a stabili prin documentele achiziției cerințe privind capacitatea tehnică și profesională care sunt necesare și adecvate pentru a se asigura că operatorii economici dețin resursele umane și tehnice și experiența necesare pentru a executa contractul de achiziție publică/acordul cadru la un standard de calitate corespunzător. (2) Cerințele privind capacitatea tehnică și profesională stabilite de autoritatea contractantă pot viza în special existența unui nivel corespunzător de experiență, prin raportare la contractele executate în trecut." și cu art. 5 din INSTRUCȚIUNE ANAP Nr. 2/2017: ”(1) În aplicarea principiului proporționalității, prevăzut la art. 2 alin. (2) lit. e) din Legea nr. 98/2016, cu completările ulterioare, respectiv Legea nr. 99/2016, atunci când stabilește criteriile de calificare și selecție menționate la art. 4, autoritatea/entitatea contractantă nu are dreptul să formuleze cerințe care ajung să se dubleze (de exemplu, solicitând concomitent demonstrarea absolvirii unor studii și deținerea de calificări educaționale și/sau profesionale care reflectă aceeași/aceleași capacitate/competențe) sau care nu pot fi justificate în raport cu ceea ce urmează a fi prestat/executat așa cum este prevăzut la nivelul caietului de sarcini sau al documentației descriptive.”, și art. 31 din Legea nr. 98/2016, contestatorul apreciază că atunci când stabilește criteriile de calificare și selecție menționate la art. 4, autoritatea/entitatea contractantă nu are dreptul să formuleze cerințe care ajung să se dubleze (de exemplu, solicitând concomitent demonstrarea absolvirii unor studii și deținerea de calificări educaționale și/sau

profesionale

care

reflectă

aceeași/aceleași capacitate/competențe) sau care nu pot fi justificate în raport cu ceea ce urmează a fi prestat/executat așa cum este prevăzut la nivelul caietului de sarcini sau al documentației descriptive. Gruparea a mai multor roluri diferite/distincte pentru un expert, așa cum este cazul "Expertului calitate și securitate informatică -(1 persoana)”, sunt abuzive, neadecvate și disproporționate în raport cu responsabilitățile și activitățile pe care expertul le va desfășura în cadrul contractului de achiziție publică și nu aduce beneficii nici autorității contractante, nici ofertanților, consideră petentul. Contestatorul menționează faptul ca în documentația de atribuire nu există nicio referire la responsabilitățile și activitățile pe care expertul de calitate și securitate informatică, urmează să le execute. Pagina 4 din 25

De asemenea, cerința „Cunoștințe privind managementul proiectelor, dovedite prin prezentarea unei diplome/certificări emisă de o instituție recunoscută național sau internațional", este excesivă și disproporționată în raport cu natura și complexitatea proiectului și cu activitățile pe care ar urma să le desfășoare expertul în perioada de execuție a contractului, dat fiind faptul că activitățile/responsabilitățile acestui expert nu sunt prezentate în documentația de atribuire, consideră contestatorul invocând experiența sa. Astfel, conform acestei cerințe, contestatorul opinează că expertul ar trebui sa ateste cunoștințe în domeniul managementului proiectelor în condițiile în care există solicitat în echipa de proiect, rolul distinct de Manager de proiect pentru care se solicită demonstrarea îndeplinirii următoarelor cerințe: „(...) A) Manager de proiect (1 persoana):  Deținerea de competențe avansate în domeniul managementului de proiect, dovedite printr-o certificare recunoscută la nivel național/ internațional  Experiență în implementarea a cel puțin un proiect similar (prin proiect similar se înțelege implementarea unui proiect ce a cuprins o soluție software de arhivare electronică a documentelor și servicii de arhivare electronică) în poziția de manager de proiect (...)". În acest sens, cerințele minime solicitate prin documentația de atribuire, precum și documentele care probează îndeplinirea unor astfel de cerințe trebuie să se limiteze la cele strict necesare pentru a se asigura executarea în condiții optime a contractului respectiv, luând în considerare exigentele specifice impuse de valoarea, natura și complexitatea acestuia. În plus, față de aspectele menționate anterior, petentul învederează că, pentru a face cerința și mai restrictiva, autoritatea contractantă solicită ca Expertul Calitate și Securitate informatica să dețină: (i) atât ” Competențe privind managementul Serviciilor IT, dovedite prin prezentarea unei diplome/certificări emisă de o instituție recunoscută național/internațional" (ii) cât și ” Certificare privind calitatea de responsabil cu protecția datelor cu caracter personal sau altă certificare internațională privind competențe în implementarea Regulamentului (UE) 679/2016 al Parlamentului European (GDPR)", considerând aceste cerințe excesive pentru rolul de Expert de Calitate și Securitate deoarece din descrierea cerințelor din caietul de sarcini în ceea ce privește obiectul contractului, deși acestea nu sunt redate în mod explicit, reiese că activitățile care îi revin acestuia pentru realizarea contractului constau, printre altele, în: (i) Identificarea și adresarea riscurilor de securitate în sistemul informatic al Beneficiarului (zona referitoare la prezentul proiect) (ii) Instalarea de patchuri de securitate pe software-ul de bază: sisteme de operare, baze de date, etc utilizate pe mașinile unde rulează software-ul de aplicație de management de documente și arhivare Pagina 5 din 25

(iii) asigurarea securității și a accesului concurent în aplicație și la datele arhivate (iv) Efectuarea de teste de penetrare a soluției informatice de management de documente și arhivare. În fapt, se constată că cerințele cumulate pentru expertul în cauză însumează cerințele a cel puțin trei tipuri de experți cu domenii de activitate diferite: • „Expert de calitate" • „Expert de securitate informatică" • „Expert de protecție a datelor cu caracter personal" Având în vedere obiectul contractului, precum și faptul că se dorește utilizarea unei soluții COTS existente și mature, contestatorul consideră că certificările solicitate pentru „Expert calitate și securitate informatică" sunt restrictive și disproporționate în raport cu activitatea desfășurată de acest expert, ce limitează și restricționează participarea operatorilor economici la procedura de achiziție publică, ceea ce duce la încălcarea principiilor ce stau la baza atribuirii contractelor de achiziție publică respectiv: principiul nediscriminării, principiul tratamentului egal și mai ales principiul proporționalității. În acest sens, s-a pronunțat Curtea de Justiție a Uniunii Europene (CJUE) „impunerea ca actele instituțiilor sa nu depășească limitele a ceea ce este adecvat și necesar în scopul realizării obiectivelor urmărite, înțelegându-se că, în măsura în care este posibilă o alegere între mai multe măsuri adecvate, trebuie să se recurgă la cea mai puțin constrângătoare, iar inconvenientele cauzate nu trebuie să fie disproporționale în raport cu scopul urmărit „ - conform INSTRUCȚIUNE ANAP Nr. 2/2017. În consecința, petentul solicită eliminarea din Documentația de atribuire a rolului Expert Calitate și Securitate informatica și înlocuirea acesteia cu următoarele roluri: 1. Expert securitate informatică (1 persoana)  Absolvent de studii superioare în domeniul tehnic;  Competențe în testarea de securitate și teste de penetrare a sistemelor informatice, dovedite prin prezentarea unei diplome/certificări emisă de o instituție recunoscută național/internațional. 2. Expert calitate (1 persoana):  Absolvent de studii superioare  Certificare privind cunoștințe în domeniul calității recunoscută la nivel național/internațional 3. Expert responsabil cu protecția datelor cu caracter personal (1 persoana):  Absolvent de studii superioare  Certificare privind calitatea de responsabil cu protecția datelor cu caracter personal sau altă certificare internațională privind competențe în implementarea Regulamentului (UE) 679/2016 al Parlamentului European (GDPR). Pagina 6 din 25

III. Având în vedere cerințele privind resursele umane din Caietul de Sarcini, Capitolul IV - CERINȚE OBLIGATORII PENTRU FURNIZORUL DE SERVICII ”(...) j) Expert securitate informatică (1 persoana)  Absolvent de studii superioare în domeniul tehnic;  Cunoștințe privind soluțiile pentru asigurarea securității software și definirea politicilor de securitate în vederea determinării conformității cu standarde de securitate informatică, dovedite prin prezentarea unei diplome/certificări emisă de o instituție recunoscută național/internațional;  Cunoștințe privind aplicarea instrumentelor și tehnologiilor de penetrare a rețelelor/sistemelor informatice în vederea remedierii vulnerabilităților de securitate informatică, și analiza rezultatelor obținute în urma aplicării instrumentelor și tehnologiilor de penetrare, dovedite prin prezentarea unei diplome/certificări emisă de o instituție recunoscută național/internațional;  Competențe tehnice/cunoștințe avansate în domeniul securității IT, dovedite prin studii, cursuri sau certificări profesionale, care să acopere următoarele domenii: 1. Securitatea rețelelor; 2. Securitatea aplicațiilor și datelor; 3. Controlul accesului și managementul identității; 4. Malware; 5. Instrumente criptografice;  Competențe în testarea de securitate și teste de penetrare a sistemelor informatice, dovedite prin prezentarea unei diplome/certificări emisă de o instituție recunoscută național/internațional.(...)"; petentul consideră că, în conformitate cu art. 2 din INSTRUCȚIUNEA ANAP Nr. 2/2017 ”(1) Autoritatea/Entitatea contractantă stabilește cerințele minime de calificare și selecție precizate la art. 1, în corelare cu principiul proporționalității, cu scopul de a obține o confirmare că operatorii economici care demonstrează îndeplinirea respectivelor cerințe au capacitatea și experiența necesară pentru a gestiona și duce la bun sfârșit, în condițiile de performanță impuse prin caietul de sarcini, contractul de achiziție publică/de achiziție sectorială/acordului-cadru ce urmează a fi atribuit." și art. 178 din legea nr. 98/2016 ” (1) Autoritatea contractantă are dreptul de a stabili prin documentele achiziției cerințe privind capacitatea tehnică și profesională care sunt necesare și adecvate pentru a se asigura că operatorii economici dețin resursele umane și tehnice și experiența necesare pentru a executa contractul de achiziție publică/acordul cadru la un standard de calitate corespunzător. (2) Cerințele privind capacitatea tehnică și profesională stabilite de autoritatea contractantă pot viza în special existența unui nivel corespunzător de experiență, prin raportare la contractele executate în trecut." și art. 5 din INSTRUCȚIUNEA ANAP Nr. 2/2017 ”(1) În aplicarea principiului proporționalității prevăzut la art. 2 alin. (2) lit. e) din Legea nr. 98/2016, cu completările ulterioare, respectiv Legea nr. 99/2016, atunci când stabilește criteriile de calificare și selecție menționate la art. 4, autoritatea/entitatea contractantă nu are dreptul să formuleze cerințe care ajung să se dubleze (de exemplu, solicitând Pagina 7 din 25

concomitent demonstrarea absolvirii unor studii și deținerea de calificări educaționale și/sau profesionale care reflectă aceeași/aceleași capacitate/competențe) sau care nu pot fi justificate în raport cu ceea ce urmează a fi prestat/executat așa cum este prevăzut la nivelul caietului de sarcini sau al documentației descriptive." și art. 31 din Legea nr. 98/2016 ”(1) Autoritatea contractantă nu are dreptul de a restricționa participarea la procedura de atribuire a contractului de achiziție publică prin introducerea unor criteriile minime de calificare, care: a) nu prezintă relevanță în raport cu natura și complexitatea contractului de achiziție publică ce urmează să fie atribuit; b) sunt disproporționate în raport cu natura și complexitatea contractului de achiziție publică ce urmează a fi atribuit.”, contestatorul consideră că solicitarea atât a rolului de "Expert securitate informatică", cât și a rolului de Expert Calitate și Securitate informatică este restrictivă și disproporționată în raport cu obiectul contractului, ce limitează și restricționează participarea operatorilor economici la procedura de achiziție publică, ceea ce duce la încălcarea principiilor ce stau la baza atribuirii contractelor de achiziție publică respectiv: principiul nediscriminării, principiul tratamentului egal și mai ales principiul proporționalității, respectiv ”impunerea ca actele instituțiilor să nu depășească limitele a ceea ce este adecvat și necesar în scopul realizării obiectivelor urmărite, înțelegându-se că, în măsura în care este posibilă o alegere între mai multe măsuri adecvate, trebuie să se recurgă la cea mai puțin constrângătoare, iar inconvenientele cauzate nu trebuie să fie disproporționale în raport cu scopul urmărit”, în interpretarea dată de către CJUE, conform INSTRUCȚIUNE ANAP Nr. 2/2017. Atribuțiile, "J) Expert securitate informatică

(1 persoana)" se suprapun și dublează de fapt cu activitățile "Expertul cheie: F) Expert calitate și securitate informatică (1 persoana)", respectiv: (i) Identificarea și adresarea riscurilor de securitate în sistemul informatic al Beneficiarului (zona referitoare la prezentul proiect) (ii) Instalarea de patchuri de securitate pe software-ul de bază: sisteme de operare, baze de date, etc utilizate pe mașinile unde rulează software-ul de aplicație de management de documente și arhivare (iii) asigurarea securității și a accesului concurent în aplicație și la datele arhivate (iv) Efectuarea de teste de penetrare a soluției informatice de management de documente și arhivare. Se poate observa că cerințele formulate în Documentația de atribuire referitoare la profilul „Expertul de Calitate și Securitate informatică"

și „

Expert securitate informatică" sunt formulate astfel încât să permită participarea la aceasta procedura doar a acelor operatori economici care au contractat experți ce au cumulat toate certificările solicitate, acest lucru constituind o limitare evidentă a concurentei, mai ales în contextul în care nu există nicio justificare reală și legală pentru fundamentarea unor astfel de cerințe, arată contestatorul. Pagina 8 din 25

În aceste condiții, obiectivul asigurării eficiente a fondurilor publice poate să nu fie realizat cât timp, prin cerințele restrictive se poate ajunge la eliminarea unor posibili ofertanți ce dețin capacitatea tehnică necesară executării contractului, apreciază petentul. În consecință, petentul solicită eliminarea din Documentația de atribuire a rolului ”Expert securitate informatică". Conform art. 8 din Legea Concurenței, autoritățile contractante trebuie să se abțină de la orice acțiuni de natură să restrângă, împiedică sau să denatureze concurența, prin stabilirea de condiții discriminatorii pentru activitatea întreprinderilor. Concluzionând, pentru toate argumentele expuse, contestatorul solicită admiterea contestației așa cum a fost formulată. Prin adresa cu nr. D/5810/29.03.2022, înregistrată la Consiliul Național de Soluționare a Contestațiilor cu nr. 16275/29.03.2022, autoritatea contractantă ... înaintează punct de vedere prin care solicită respingerea contestației formulată de către ... S.R.L. ca nefondată pentru următoarele motive. Sub aspectul criticilor cerințelor de la pct. I, autoritatea contractantă precizează: Formularea completa a solicitării identificate de Contestator ca fiind restrictiv este următoarea: Capitolul III. SPECIFICAȚII TEHNICO FUNCȚIONALE ALE SISTEMULUI DE ARHIVARE ELECTRONICĂ A DOCUMENTELOR Documentele rezultate în urma serviciilor de digitalizare (scanare și indexare) vor fi puse la dispoziția autorității contractante prin intermediul unei aplicații software de document management ce va fi instalată pe infrastructura autorității. Toate funcționalitățile aplicației, solicitate prin caietul de sarcini, trebuie să existe în sistem la momentul depunerii ofertei (Out Of The Box) și pot fi verificate de Autoritatea Contractantă în faza de ofertare. Nu se accepta dezvoltări suplimentare pentru îndeplinirea cerințelor. În vederea ușurării activității de administrare a sistemului de către autoritatea contractantă, ulterior procesului de implementare, se solicită ca întregul sistem să fie configurat prin funcționalități de tip point-and- click configuration. Nu se acceptă în implementare scrierea de cod, în niciun limbaj de programare. Instalarea și configurarea inițială a aplicației cade în sarcina viitorului Prestator, în acest sens Autoritatea Contractantă punând la dispoziție infrastructura necesara și existentă deja. Soluția va fi instalata pe mașinile virtuale din infrastructura de date a Beneficiarului, avand sistem de operare Windows Server. Configurația/parametrii mașinilor virtuale ce vor fi utilizate pentru instalarea și rularea soluției ofertate vor fi detaliate în cadrul unei ședințe tehnice de analize ca parte din faza de setare inițială a proiectului. Administrarea ulterioară a acestui sistem se va realiza de către personalul autorității contractante. Autoritatea contractantă susține că se poate observa, fără echivoc, din solicitări, următoarele: Pagina 9 din 25

- se dorește achiziționarea unei platforme software de document management, și nu achiziția de servicii de dezvoltare software la comandă Nu se vor accepta oferte care nu pot face dovada existentei aplicației solicitate din următoarele motive: a. O dezvoltare custom a unei aplicații software ar implica din perspectiva autorului un efort comun de analiza și testare al viitorului Prestator și al Beneficiarului iar Beneficiarul nu are personal cu competente de dezvoltare si/sau testare aplicații software. b. Autoritatea contractantă dorește implementarea unei soluții software mature, care dispune de toate funcționalitățile solicitate la momentul depunerii ofertei de către operatorii economici interesați de procedură, în detrimentul unei soluții ce necesită dezvoltări suplimentare pentru a răspunde la acestea, aspect ce poate induce riscuri importante autorității contractante - ex: bug-uri (defecte) ale aplicației, lucru firesc pentru o aplicație care dispune de funcționalități nou dezvoltate, dar care pot genera perioade de indisponibilitate ale sistemului, pana când acestea sunt remediate. c. Utilizarea unei aplicații dezvoltate special pentru autoritatea contractantă va limita flexibilitatea autorității contractante și posibilitatea ca pe viitor să colaboreze în vederea dezvoltării acestei platforme cu alte companii în afara Ofertantului câștigător Conform caietului de sarcini (Vezi prevederile de mai sus). Autoritatea contractantă își dorește ca administrarea ulterioară a sistemului să se realizeze de personalul autorității contractante, în acest sens solicitându- se că aplicația să poată fi configurată prin funcționalități de tip point & click configuration, fără scrierea de linii de cod. d. Obiectul principal al contractului va fi digitalizarea arhivei existente în cadrul Autorității contractante și punerea la dispoziție a informațiilor în cadrul acestei aplicații de management al documentelor. În aceste condiții este în avantajul clar al autorității contractante ca aplicația sa fie disponibila la scurt timp după începerea proiectului astfel încât rezultatele proiectului să fie disponibile încă din primele luni de execuție. Ori, în cazul în care discutăm de dezvoltare software a unei platforme inexistente la momentul semnării contractului, acest lucru va fi cel puțin improbabil dacă nu imposibil. e. Specificațiile tehnice ale aplicației așa cum apar ele în caietul de sarcini au fost îndelung discutate și analizate, modificate și într-un final avizate pozitiv de Comisia Tehnica de Specialiști din cadrul Comitetului Tehnico-Economic din Autoritatea pentru Digitalizarea României conform avizului pozitiv nr. 186CTE/24.02.2022, care face parte integrantă din dosarul achiziției publice. Mai mult, este de observat că cerințele autorității contractante au ca scop procurarea unei soluții tehnice finală care să poată răspunde la cerințele actuale ale instituției fără a genera costuri viitoare (inclusiv disponibilizare de resursă umană pe care autoritatea nu si-o permite) substanțiale în dezvoltări/configurări și mentenanță a platformei, ținând cont și de faptul că durata relativ scurtă de derulare a acordului-cadru Pagina 10 din 25

nu permite optimizarea unei aplicații software care să asigure prestarea serviciilor în timp util. Referitor criticilor de la pct. II privind eliminarea cerinței cu privire la ”(...) Expertul cheie: F) Expert calitate și securitate informatică (1 persoană), achizitoarea precizează că solicitarea unui astfel de expert este datorata complexității proiectului și a etapelor necesare pentru realizarea proiectului, care presupune un flux de documente în format fizic și electronic care conțin informații confidențiale și date cu caracter personal (dosare ale beneficiarilor Direcției de Asistență Socială și Protecția Copilului care includ date cu privire la dosare medicale, stare civila, drepturi acordate, informații despre persoane aflate în executarea unei sentințe în beneficiul comunității etc) - manipulare și pregătire documente pentru scanare, calitatea documentelor scanate, indexare, asocierea informațiilor, copii electronice de siguranța ale documentelor, implementarea soluției software și pregătirea infrastructurii IT, așa cum sunt prevăzute în caietul de sarcini: - Digitizarea se va realiza cu personalul specializat al Prestatorului precum și cu echipamente specializate, de producție ale Prestatorului, automat sau manual, în funcție de starea fizică și formatul documentelor; - Indexarea / asocierea unor informații / metadate copiilor electronice ale documentelor, în scopul regăsirii, se va realiza prin extragerea de către Prestator a elementelor de indexare necesare regăsirii arhivei digitale și atașarea acestora la imaginile rezultate în urma procesului de arhivare; - Arhiva electronică formată din imagini și metadate va fi importată în Soluția software de arhivare electronică pusă la dispoziție de Prestator, și va respecta structura logică de grupare și regăsire a datelor ce va fi definită în cadrul procesului de analiză Pentru optimizarea procesului de scanare, componenta de captură trebuie să permită aplicarea automată de algoritmi de detecție/îmbunătățire a imaginilor scanate precum: a. îndreptarea imaginilor, dacă acestea prezintă un anumit grad de înclinare; b. Detectarea și eliminarea impurităților de fond; c. Detectarea și eliminarea automată a bordurilor negre; d. Detectarea, interpretarea și eliminarea separatorilor de documente; e. Detectarea și recunoașterea codurilor de bare și a patch codurilor; Prestatorul va asigura integritatea conținutului înscrisurilor de pe documente, neavând voie să efectueze adăugiri, completări, modificări sau îngroșări ale datelor pe documente. Prestatorul trebuie să garanteze și să demonstreze utilizarea unui sistem informatic de trasabilitate și verificare internă la nivel de document ce asigură acuratețea procesului: numărul filelor ce intră în procesul de digitizare trebuie să fie același cu numărul filelor ce au fost convertite în format electronic. Pagina 11 din 25

Soluția va fi instalată pe mașinile virtuale din infrastructura de date a Beneficiarului, avand sistem de operare Windows Server. Configurația/parametrii mașinilor virtuale ce vor fi utilizate pentru instalarea și rularea soluției ofertate vor fi detaliate în cadrul unei ședințe tehnice de analize ca parte din faza de setare inițială a proiectului. Se va detalia modul în care soluția software ofertata îndeplinește cerințele minime detaliate în ordinul nr. 493 din 15 iunie 2009 privind normele tehnice și metodologice pentru aplicarea Legii nr. 135/2007privind arhivarea documentelor în formă electronica, capitolul III, art. 5, litera b), punctele 1-7, unde sunt detaliate cerințele minime pe care trebuie să le îndeplinească sistemul informatic pentru arhivarea electronică a documentelor, și anume: 1. asigură mijloacele de control și de securitate a documentelor și a bazei de date; 2. menține integritatea internă, funcționarea și coerența sistemului și a bazei de date; 3. asigură conservarea pe termen nelimitat a documentelor cu caracter permanent și eliminarea definitivă a celor cu termen de păstrare expirat, potrivit nomenclatorului arhivist ic, cu excepția situațiilor prevăzute de lege; 4. asigură procesele de introducere a documentelor în sistemul de administrare; 5. asigură funcția de căutare a documentelor; 6. asigură accesul la documentele stocate în arhivă, cu respectarea regimului de acces stabilit, precum și prezentarea indiferent de formă (afișare, printare etc.) a documentelor; 7. asigură funcțiile de administrare și ștergere a documentelor, garantându-se controlul operațiunilor în vederea înlăturării riscului accesului neautorizat la documente și al distrugerii necorespunzătoare de documente; Toate aceste cerințe specifice unui astfel de proiect presupun - management de proiect, management de calitate cu expertiză în securitate informatică, servicii IT și arhivare electronică, precum și în auditarea întregului proces de implementare, susține autoritatea contractantă. Achizitoarea nu este de acord cu solicitarea contestatorului de a elimina rolul expertului de calitate și securitate informatică și de a fi înlocuit cu 3 experți distincți, deoarece: - un expert de calitate care nu are expertiza și experiența în domeniul securității informatice și a serviciilor IT nu ar putea să aducă plus valoare la un astfel de proiect - un responsabil cu protecția datelor care nu are expertiza și experiența în domeniul IT ar fi util, cel mult, pentru fluxul de lucru al documentelor în format fizic, însă în proiect datele cu caracter personal vor fi gestionate prin intermediul unei rețele informatice, cu ajutorul unor aplicații software si, la final stocate la nivelul unei infrastructuri informatice complexe. Pagina 12 din 25

Cu privire la pct. III, legat de eliminarea cerinței ”(...) j) Expert securitate informatică (1 persoană), expertul de securitate informatică propus este un expert tehnic care are cunoștințe de ethical hacking - metode de penetrare a infrastructurilor informatice și a aplicaților software. Afirmația contestatarului ”J) Expert securitate informatică (1 persoana)" se suprapun și dublează de fapt cu activitățile "Expertul cheie: F) Expert calitate și securitate informatică (1 persoana)" nu are susținere deoarece certificările și atribuțiile celor doi experți sunt total diferite. Mici propoziții sau fraze referitoare la atribuțiile celor doi experți pe care contestatarul le pune în evidență nu reprezintă „suprapunere de activități". Expertul în securitate informatică practic „atacă" infrastructura informatică și aplicația software identificând vulnerabilitățile existente, iar expertul în calitate și securitate informatică auditează întreg procesul pentru asigurarea securității informatice - respectare și implementare de proceduri, conformitatea cu cerințele standardului ISO 27001 și a Ordinului nr. 493 / 2009 privind normele tehnice și metodologice pentru aplicarea Legii nr. 135/2007 privind arhivarea documentelor în formă electronică. Mai mult, întreaga documentație de atribuire (inclusiv aspectele regăsite în criticile contestatorului) a fost analizată și avizată pozitiv de către Comitetul Tehnico-Economic pentru Societatea Informațională (CTE) care verifica proiectul cu privire la următoarele aspecte: • Asigura interoperabilitatea cu sistemele existente • Nu au mai existat proiecte cu același obiectiv / rezultat așteptat • Nu se suprapune funcțional cu alte sisteme existente sau în dezvoltare • Este în conformitate cu obiectivele Strategiei Autorității pentru Digitalizarea României • Este în conformitate cu obiectivele Strategiei Naționale de Securitate Cibernetică Din întreg procesul de avizare al proiectului de către CTE (care a constat în o serie de întâlniri ale comisiei cu personalul autorității contractante - proces în care au fost revizuite aspecte la cererea experților CTE) și documentația de avizare solicitată, reiese importanța specialiștilor în securitatea informației pentru conformitatea obiectivelor strategiilor naționale din domeniul tehnologiei informației, comunicațiilor și societatii informaționale și cu strategia naționala de securitate cibernetică. Astfel, autoritatea contractantă consideră nejustificat și neprincipial să modifice cerințele inițiale ale documentației de atribuire (concepută pentru a asigura nevoile autorității) care au primit avizul favorabil al singurei instituții guvernamentale ce are competență în acest domeniu, astfel încât acestea să satisfacă nevoile operatorilor și nu a achizitorului, concluzionând prin a solicita respingerea contestației ca nefondată, apreciind că autoritatea contractantă este singura în măsură de a-și defini rigorile necesare pentru a-si satisface necesitățile. Prin adresa cu nr. 1612/01.04.2022, înregistrată la Consiliul Național de Soluționare a Contestațiilor sub nr. 17187/01.04.2022, în Pagina 13 din 25

urma punctului de vedere al autorității contractante, contestatorul ... S.R.L. formulează concluzii scrise arătând că și prin punctul de vedere al achizitoarei se confirmă temeinicia contestației. 1. În ce privește prima cerință contestată, referitoare la aplicație din Caietul de sarcini, pag. 16, de la Capitolul III. SPECIFICAȚII TEHNICO FUNCȚIONALE ALE SISTEMULUI DE ARHIVARE ELECTRONICĂ A DOCUMENTELOR și la argumentele invocate de autoritatea contractantă în Punctul de Vedere, petentul precizează că a contestat faptul că autoritatea contractantă cere demonstrarea tuturor capabilităților aplicației de management de documente ÎNAINTE de faza de ofertare, pe considerentul că acest lucru conduce la cheltuieli nejustificate de resurse umane și materiale înainte de momentul depunerii ofertei, cheltuieli care nu vor putea fi acoperite de către ofertanții a căror ofertă a fost respinsă sau declarată necâștigătoare, chiar dacă a fost declarată conformă și admisibilă. Contestatorul precizează că nu a pus în discuție dreptul autorității contractante de a opta între a achiziționa o soluție de management de documente și a achiziționa servicii de dezvoltare software pentru realizarea platformei de management al documentelor, autoritatea contractantă având dreptul de a alege oricare din aceste variante, în măsura în care acest lucru se face cu respectarea prevederilor legislației în materia achizițiilor publice. Petentul arată că din analiza proprie efectuată a rezultat că majoritatea soluțiilor de management de documente existente pe piață au nativ, în nucleul lor, marea majoritate a funcționalităților solicitate pentru o astfel de aplicație, iar activitatea fiecărei instituții prezintă anumite particularități. Din acest motiv, oricât de multe funcționalități ar prezenta o soluție informatică de tip COTS, este practic imposibil ca aceasta să acopere nativ toate cerințele funcționale și/sau rapoartele care ar putea fi solicitate de beneficiari. Acoperirea acestei zone specifice se poate face însă prin realizarea unor dezvoltări punctuale, de mică anvergură, fără impact semnificativ asupra fiabilității aplicației COTS, susține contestatorul. Sancțiunea posibilei descalificări a unei soluții de management de documente matură și cu referințe multiple pe piață pe considerentul că nu îndeplinește nativ cerințe funcționale din caietul de sarcini care sunt specifice autorității contractante (conform cerințelor/specificațiilor tehnice solicitate prin documentația de atribuire), , cerințe care pot fi însă îndeplinite printr-o minimă dezvoltare, este nelegală, disproporționată și discriminatorie, consideră contestatorul. Referitor la afirmațiile autorității contractante din Punctul de vedere cu privire la această critică din contestația, petentul precizează: • Referitor la punctul a) din Punctul de vedere al autorității contractante, contestatorul nu dorește elaborarea/dezvoltarea unei soluții de management de documente de la zero, ci acceptarea posibilității de a adăuga funcționalități suplimentare, specifice autorității contractante, la un produs matur existent, activitate ce nu presupune Pagina 14 din 25

implicarea personalului Beneficiarului, sau îngreunarea procesului de dezvoltare și/sau testare aplicații software, • Referitor la punctul b) din Punctul de vedere al autorității contractante, petentul reiterează faptul că ceea ce este contestabil este modul ilegal, restrictiv și discriminatoriu în care se poate descalifica o soluție de management de documente matură și cu referințe multiple pe piață dacă nu îndeplinește nativ cerințe funcționale din caietul de sarcini, care sunt specifice autorității contractante; • Referitor la punctul c) din Punctul de vedere al autorității contractante, petentul consideră că interpretarea autorității contractante este eronată, deoarece ... S.R.L. nu a afirmat și nici nu intenționează să dezvolte o aplicație customizată pentru acest proiect de la zero; • Referitor la punctul d) din Punctul de vedere al autorității contractante, petentul consideră că autoritatea contractantă a interpretat greșit solicitarea sa, deoarece ... S.R.L. ... S.R.L. nu a insinuat și nu a afirmat că va dezvolta o platformă inexistentă în acest moment pentru acest proiect; • Referitor la punctul e) din Punctul de vedere al autorității contractante, petentul consideră că este irelevant modul în care s-a ajuns la specificațiile din caietul de sarcini, atâta timp cât acestea limitează concurența între operatorii economici interesați și poate conduce la utilizarea ineficientă și greșită a fondurilor publice. Cerințele / specificațiile tehnice din documentația de atribuire, trebuie să permită oricărui operator economic interesat să participe la procedura de atribuire a contractului de achiziție publică și să îi ofere posibilitatea de a depune o oferta competitivă, apreciază contestatorul. Având în vedere că, prin Punctul de vedere autoritatea contractantă nu aduce nicio lămurire suplimentară față de cele deja prezentate în Caietul de sarcini, contestatorul precizează că își menține solicitarea cu privire la nelegalitatea acestei cerințe, potrivit argumentelor prezentate pe larg în Contestație. 2. Referitor la cea de a doua cerință din Caietul de sarcini contestată, respectiv: "(...) Expertul cheie: F) Expert calitate și securitate informatică (1 persoana)”, cu solicitările aferente. Din analiza aspectelor prezentate de autoritatea contractantă în Punctul de vedere se observă că aceasta face afirmații contradictorii referitoare la caracterizarea tipului de proiect și a complexității acestuia, pentru a motiva necesitatea implicării unui Expert calitate și securitate informatică și cerințele care trebuie îndeplinite de acesta. Astfel: • Pe de o parte, autoritatea contractantă susține că soluția de management de documente este una matură, cu multiple referințe și implementări existente și activitățile prestate în acest contract au mai fost replicate de multe ori anterior în alte contracte realizate de Prestator, ceea ce conduce la idea ca tipul de proiect este unul simplu (nu complex). Simultan reclamă însă complexitatea deosebită a proiectului și necesitatea implicării unui număr sporit de experți cu calificare ridicată și polivalentă, în special pe zona de Securitate. Pagina 15 din 25

Comparând, pe de-o parte criteriile Autorității contractante de la definirea soluției respectiv ca aceasta să fie matură, cu multiple referințe și implementări existente iar pe de altă parte afirmația acesteia că activitățile care trebuie prestate în acest contract au mai fost replicate de multe ori anterior în alte contracte realizate de Prestator, rezultă automat faptul că implicarea mai multor experți pe zona de securitate este nejustificată; • Toate problemele de securitate legate de aplicația de management de documente propriu-zisă (acces autorizat utilizatori și administratori, conexiune securizată și criptată, bug-uri și breșe de securitate, etc) au fost deja rezolvate (fiind vorba de o platformă matură, care există de mai mult timp și are referințe similare) și nu necesită nici un efort la implementare. Iar zona de securitate legată de mediul în care este instalată aplicația: sisteme de operare, baze de date, protecție rețea, etc., poate fi adresată cu ușurință și de un administrator IT cu experiență, fără a fi în mod expres necesar un expert de securitate suplimentar. • Contestatorul reiterează faptul că autoritatea contractantă, introduce în profilul și activitățile expertului de securitate elemente suplimentare nelegate direct de domeniul securității informatice (cele de management de proiect, managementul serviciilor IT, calitatea și protecția datelor cu caracter personal), ceea ce este contrar prevederilor legale. Introducerea cerințelor de certificări specifice unor roluri de management de proiect, managementul serviciilor IT, calitatea și protecția datelor cu caracter personal, sunt nejustificate pentru rolul de Expert calitate și securitate informatică și are drept efect restrângerea posibilității de calificare pentru experți de Securitate informatică, rol cu certificări specifice, restricționând și chiar anulând posibilitatea celorlalți operatori economici de a participa la procedură. Având în vedere că, prin Punctul de vedere autoritatea contractantă nu aduce nicio lămurire suplimentară față de cele deja prezentate în Caietul de sarcini, contestatorul precizează că își menține solicitarea cu privire la nelegalitatea acestei cerințe potrivit argumentelor prezentate pe larg în Contestație. 3. Referitor la cea de a treia cerință din Caietul de Sarcini contestată: "(...) J) Expert securitate informatică (1 persoana)”, cu solicitările aferente. Cu privire la susținerile autorității contractante din Punctul de vedere transmis, contestatorul reiterează că proiectul ce face obiectul prezentei proceduri de achiziție: • Are un nivel de complexitate redus, acesta fiind un proiect de tip repetitiv, • Implică un număr redus de activități în proiect pe zona de securitate informatică și • Are deja nominalizat, la nivelul de experți, un expert de securitate care acoperă integral aceste cerințe. În acest context, petentul își menține opinia prezentată în contestație, conform căreia, necesitatea implicării unui al doilea expert Pagina 16 din 25

de securitate informatică este nejustificată, disproporționată față de complexitatea proiectului și solicită eliminarea lui din lista de experți necesari realizării serviciilor de implementare. Având în vedere că, prin Punctul de vedere autoritatea contractantă nu aduce nicio lămurire suplimentară față de cele deja prezentate în Caietul de sarcini, contestatorul precizează că își menține solicitarea cu privire la nelegalitatea acestei cerințe potrivit argumentelor prezentate pe larg în Contestație. Din înscrisurile aflate la dosarul cauzei, Consiliul constată următoarea situație de fapt: În calitate de autoritate contractantă, ... a inițiat o procedură de licitație deschisă, organizată în vederea atribuirii contractului de achiziție publică având ca obiect „Achiziție de servicii de digitalizare, arhivare electronică și fizică”, cod CPV ... (Rev.2), prin publicarea în SEAP a anunțului de participare nr. .... Conform anunțului de participare și a documentației de atribuire, criteriul de atribuire este „prețul cel mai scăzut”, iar valoarea totală estimată a contractului de servicii este de 2.865.000,00 lei, fără TVA. Din verificările preliminare, se constată că ... S.R.L. a sesizat Consiliul cu contestația nr. 1330/21.03.2022, înregistrată la Consiliul Național de Soluționare a Contestațiilor cu nr. 14685/21.03.2022, criticând documentația de atribuire cu privire la unele aspecte restrictive din caietul de sarcini Procedând la soluționarea contestației formulate de ... S.R.L., Consiliul constată că prin aceasta au fost criticate următoarele prevederi din caietul de sarcini: - solicitarea de eliminare a cerinței „toate funcționalitățile aplicației, solicitate prin caietul de sarcini, trebuie să existe în sistem la momentul depunerii ofertei (Out Of The Box) și pot fi verificate de Autoritatea Contractanta în faza de ofertare. Nu se acceptă dezvoltări suplimentare pentru îndeplinirea cerințelor”; - solicitarea de modificare a cerinței privind expert calitate și securitate informatică (1 persoană); - solicitarea de eliminare a cerinței privind expert securitate informatică. În ceea ce privește criticile prin care se solicită eliminarea cerinței „toate funcționalitățile aplicației, solicitate prin caietul de sarcini, trebuie să existe în sistem la momentul depunerii ofertei (Out Of The Box) și pot fi verificate de Autoritatea Contractanta în faza de ofertare. Nu se acceptă dezvoltări suplimentare pentru îndeplinirea cerințelor”, Consiliul reține că această cerință a fost prevăzută la capitolul III. „Specificații tehnico funcționale ale sistemului de arhivare electronică a documentelor” din caietul de sarcini. Prin urmare, Consiliul constată că cerința în cauză reprezintă o specificație tehnică a aplicației ce urmează a fi achiziționate și nu o cerință de calificare, astfel cum, în mod eronat, apreciază contestatorul. Pagina 17 din 25

Într-o atare situație, Consiliul reține ca fiind relevante în soluționare prevederile art. 3 alin. (1) lit. rr) din Legea nr. 98/2016 potrivit cărora specificațiile tehnice sunt definite ca fiind „cerințe, prescripții, caracteristici de natură tehnică ce permit fiecărui produs, serviciu sau lucrare să fie descris, în mod obiectiv, într-o manieră corespunzătoare îndeplinirii necesității autorității contractante” și cele ale art. 155 alin. (6) din același act normativ conform cărora „Specificațiile tehnice trebuie să permită tuturor operatorilor economici accesul egal la procedura de atribuire și nu trebuie să aibă ca efect introducerea unor obstacole nejustificate față de asigurarea unei concurențe efective între operatorii economici”. Raportat la acest aspect, Consiliul are în vedere că obiectul prezentei proceduri de atribuire este reprezentat de „Achiziție de servicii de digitalizare, arhivare electronică și fizică”, în cadrul unei soluții software de arhivare electronică ce urmează a fi pusă la dispoziție de prestatorul de servicii prin ofertă. De asemenea, Consiliul reține ca precizările făcute de autoritatea contractantă în cuprinsul „Strategiei de contractare” nr. 23275, aprobată în luna decembrie 2021, respectiv „Autoritatea contractantă își propune să atribuie un acord cadru pentru achiziția unui sistem și a serviciilor de digitalizare, arhivare electronică și pregătire pentru arhivare fizică (prelucrare arhivistică în sensul Legii 16/1996) a documentelor din arhiva proprie pentru o perioadă de 24 luni”. Prin urmare, Consiliul reține ca fiind relevante în soluționare susținerile autorității contractante, exprimate în cuprinsul punctului de vedere nr. 16275/29.03.2022, prin care arată că dorește să achiziționeze o platformă software de document management și nu achiziția de servicii de dezvoltare software la comandă, prezentând și argumente în acest sens, respectiv: „a. O dezvoltare custom a unei aplicații software ar implica din perspectiva noastră un efort comun de analiza și testare al viitorului Prestator și al Beneficiarului iar Beneficiarul nu are personal cu competente de dezvoltare si/sau testare aplicații software; b. Autoritatea contractanta dorește implementarea unei soluții software mature, care dispune de toate funcționalitățile solicitate la momentul depunerii ofertei de către operatorii economici interesați de procedura, în detrimentul unei soluții ce necesita dezvoltări suplimentare pentru a răspunde la acestea, aspect ce poate induce riscuri importante autorității contractante - ex: bug-uri (defecte) ale aplicației, lucru firesc pentru o aplicație care dispune de funcționalități nou dezvoltate, dar care pot genera perioade de indisponibilitate ale sistemului, pana când acestea sunt remediate; c. Utilizarea unei aplicații dezvoltate special pentru Autoritatea Contractanta va limita flexibilitatea Autorității Contractante și posibilitatea ca pe viitor sa colaboreze în vederea dezvoltării acestei platforme cu alte companii în afara Ofertantului câștigător Conform caietului de sarcini (Vezi prevederile de mai sus), Autoritatea contractanta își dorește ca administrarea ulterioara a sistemului sa se realizeze de personalul autorității contractante, în acest sens solicitându-se ca aplicația sa poată fi configurata prin funcționalități de tip point&click configuration, fără scrierea de linii de cod; d. Obiectul principal al contractului va fi digitalizarea arhivei existente în cadrul Autorității contractante și punerea la dispoziție a informațiilor în Pagina 18 din 25

cadrul acestei aplicații de management al documentelor. în aceste condiții este în avantajul clar al autorității contractante ca aplicația sa fie disponibila la scurt timp după începerea proiectului astfel încât rezultatele proiectului sa fie disponibile încă din primele luni de execuție. Ori, în cazul în care discutam de dezvoltare software a unei platforme inexistente la momentul semnării contractului, acest lucru va fi cel puțin improbabil daca nu imposibil; e. Specificațiile tehnice ale aplicației așa cum apar ele în caietul de sarcini au fost îndelung discutate și analizate, modificate și într-un final avizate pozitiv de Comisia Tehnica de Specialiști din cadrul Comitetului Tehnico-Economic din Autoritatea pentru Digitalizarea României conform avizului pozitiv nr. 186CTE/24.02.2022, care face parte integranta din dosarul achiziției publice și pe care îl atașam. Mai mult, cerințele autorității contractante au ca scop procurarea unei soluții tehnice finala care sa poată răspunde la cerințele actuale ale instituției fără a genera costuri viitoare (inclusiv disponibilizare de resursa umana pe care autoritatea nu si-o permite) substanțiale în dezvoltări/configurări și mentenanță a platformei, ținând cont și de faptul ca durata relativ scurta de derulare a acordului-cadru nu permite optimizarea unei aplicații software care sa asigure prestarea serviciilor în timp util”, întrucât autoritatea contractantă a impus această cerință în cuprinsul caietului de sarcini prin raportare la necesitățile și resursele pe care le are la dispoziție. Referitor la susținerile contestatorului potrivit cărora „demonstrarea tuturor capabilităților aplicației de management de documente înainte de faza de ofertare conduce la cheltuieli nejustificate de resurse umane și materiale înainte de momentul depunerii ofertei, cheltuieli care nu vor putea fi acoperite de către ofertanții a căror ofertă nu va fi declarată câștigătoare”, Consiliul are în vedere că în condițiile în care, așa cum declară acesta în cuprinsul contestației, soluțiile ce urmează a fi propuse de ofertanți conțin, în nucleul lor, majoritatea funcționalităților solicitate de autoritatea contractantă, dezvoltările punctuale, specifice fiecărui beneficiar în parte, „nu necesită un efort major de dezvoltare și testare”, rezultând că impactul bugetar pentru realizarea acestora poate fi încadrat în cheltuielile ocazionate cu întocmirea ofertelor, asumate de fiecare ofertant în parte, fiind evident că doar una dintre ofertele prezentate va fi declarată câștigătoare a acordului cadru (la punctul IV.1.3 „Informații privind un acord-cadru sau un sistem dinamic de achiziții” din fișa de date a achiziției fiind prevăzut „Acord cadru cu un singur operator”). În același timp, Consiliul are în vedere că, în măsura în care consideră că cheltuielile ocazionate cu întocmirea ofertelor au un nivel ridicat pentru unii operator economici interesați de participarea la prezenta procedură de atribuire, aceștia au posibilitatea de a se asocia cu alți operatori economici și de a depune ofertă în comun, în conformitate cu prevederile art. 53 din Legea nr. 98/2016 potrivit cărora „Au dreptul de a participa la procedurile de atribuire prevăzute la art. 68, în calitate de ofertant individual/ofertant asociat/candidat/terț susținător/subcontractant, operatorii economici definiți la art. 3 alin. (1) lit. jj)”, respectiv „orice persoană fizică sau juridică, de drept public ori de drept privat, sau grup ori asociere de astfel de persoane, inclusiv orice Pagina 19 din 25

asociere temporară formată între două ori mai multe dintre aceste entități, care oferă în mod licit pe piață executarea de lucrări, furnizarea de produse ori prestarea de servicii”. Prin urmare, Consiliul constată că cerința în discuție este justificată de autoritatea contractantă prin raportare la necesitățile sale și nu reprezintă un obstacol pentru participarea la procedura de atribuire, astfel fiind asigurată concurența între operatorii economici interesați de participarea la aceasta, motiv pentru care respinge, ca nefondate, criticile formulate sub acest aspect. În ceea ce privește criticile referitoare la cerința ce vizează expert calitate și securitate informatică și expert Securitate informatică, Consiliul reține că în cuprinsul caietului de sarcini se precizează, între altele, că „Operatorul economic trebuie să dețină resursele umane, ce au urmat cursuri de specializare, necesare derulării în bune condiții a serviciilor solicitate, și anume: (...) F) Expert calitate și securitate informatică (1 persoana): o Absolvent de studii superioare în domeniul tehnic o Cunoștințe privind managementul proiectelor, dovedite prin prezentarea unei diplome/certificări emisă de o instituție recunoscută național sau internațional o Cunoștințe în domeniul securității informației dovedite prin certificare profesională emisă de o instituție recunoscută la nivel național sau internațional sau certificare echivalentă în domeniul auditării securității informației în conformitate cu standardul ISO 27001, sau echivalent, pentru Sistemele de Management ale securității Informației o Cunoștințe în domeniul managementului securității sistemelor informatice privind aplicarea conceptelor, instrumentelor și procedurilor de securitate cu scopul de a preveni și combate incidentele de securitate, dovedite prin prezentarea unei diplome/certificări emisă de o instituție recunoscută național/internațional o Competențe privind auditul sistemelor informatice, dovedite prin prezentarea unei diplome/certificări emisă de o instituție recunoscută național / internațional o Competențe privind managementul Serviciilor IT, dovedite prin prezentarea unei diplome/certificări emisă de o instituție recunoscută național/internațional o Certificare privind cunoștințe în domeniul calității recunoscută la nivel național/internațional o Certificare privind calitatea de responsabil cu protecția datelor cu caracter personal sau altă certificare internațională privind competențe în implementarea Regulamentului (UE) 679/2016 al Parlamentului European (GDPR) o Experiență în cel puțin 1 proiect similar (prin proiect similar se înțelege implementarea unei soluții software de arhivare electronică a documentelor și servicii de arhivare electronică) ca expert calitate și securitate informatică. J) Expert securitate informatică (1 persoana) o Absolvent de studii superioare în domeniul tehnic; Pagina 20 din 25

o Cunoștințe privind soluțiile pentru asigurarea securității software și definirea politicilor de securitate în vederea determinării conformității cu standarde de securitate informatică, dovedite prin prezentarea unei diplome/certificări emisă de o instituție recunoscută național/internațional; o Cunoștințe privind aplicarea instrumentelor și tehnologiilor de penetrare a rețelelor/sistemelor informatice în vederea remedierii vulnerabilităților de securitate informatică, și analiza rezultatelor obținute în urma aplicării instrumentelor și tehnologiilor de penetrare, dovedite prin prezentarea unei diplome/certificări emisă de o instituție recunoscută național/internațional; o Competențe tehnice/cunoștințe avansate în domeniul securității IT, dovedite prin studii, cursuri sau certificări profesionale, care să acopere următoarele domenii: 1. Securitatea rețelelor; 2. Securitatea aplicațiilor și datelor; 3. Controlul accesului și managementul identității; 4. Malware; 5. Instrumente criptografice; o Competențe în testarea de securitate și teste de penetrare a sistemelor informatice, dovedite prin prezentarea unei diplome/certificări emisă de o instituție recunoscută național/internațional.  Ofertantul trebuie să facă dovada competențelor și experienței experților propuși prin prezentarea CV-ului, certificări / diplome, recomandări din partea beneficiarilor proiectelor, sau orice alt document doveditor”. Referitor la criticile ce vizează expertul calitate și securitate informatică, Consiliul reține că ... S.R.L. apreciază că autoritatea contractantă solicită cerințe referitoare la experți ce se dublează, considerând că cerințele cumulate pentru acest expert sunt abuzive, neadecvate și disproporționate în raport cu responsabilitățile și activitățile pe care le va desfășura în cadrul acordului cadru. Consiliul determină că în speță sunt incidente următoarele prevederi din Instrucțiunea nr. 1/2017 emisă de AGENȚIA NAȚIONALĂ PENTRU ACHIZIȚII PUBLICE (ANAP): ART. 3 (1) Sintagma "personalul ce va realiza efectiv activitățile care fac obiectul contractului ce urmează a fi atribuit" se referă la experții/personalul-cheie ce răspund(e) de realizarea efectivă a proceselor de execuție aferente implementării respectivului contract, calificarea, experiența profesională și/sau modul de organizare influențând, în mod direct, calitatea rezultatului ce trebuie atins prin contractul în cauză, această categorie de personal nefiind considerată criteriu de calificare și selecție în raport cu operatorul economic ce este candidat/ofertant în procedura de atribuire. (2) Prin noțiunea de "personal-cheie" menționată la alin. (1), se înțelege orice expert/specialist a cărui activitate desfășurată în cadrul contractului este reflectată direct fie: (i) într-o proporție majoritară a rezultatului respectivei activități și/sau a întregului contract, atunci când există o relație direct proporțională între volumul muncii prestate și nivelul calitativ al rezultatului în cauză, iar contribuția sa are, totodată, o pondere ridicată în rezultatul final al contractului; Pagina 21 din 25

(ii) într-o proporție minoră ca efort depus din punctul de vedere al volumului de muncă, dar cu un impact major asupra esenței rezultatului respectivei activități și/sau a întregului contract (de exemplu, în situația în care rezultatul muncii sale este stabilirea soluției tehnice ce face obiectul contractului, celelalte activități ale acestuia având doar rolul de a clarifica/detalia aspectele ce descriu respectiva soluție și/sau modul de implementare a sa). (...) Exemplu de experți-cheie: a) expert dezvoltare soluție informatică; expert analist procese interne; expert baze de date aferenți implementării unui contract de servicii având ca obiect realizarea unui sistem informatic; b) ingineri proiectanți responsabili cu implementarea contractelor ce au ca obiect prestarea de servicii în domeniul proiectării obiectivelor de investiții.” Așadar în vederea atribuirii contractului de servicii supus procedurii în cauză, a cărui grad de complexitate nu poate fi tăgăduit, autoritatea contractantă a elaborat caietul de sarcini în cadrul căruia a menționat condițiile/cerințele pe care trebuie să le îndeplinească operatorii economici pentru a elabora oferte conforme, punând un foarte mare accent pe existenta de personal calificat în ceea ce privește tipul de experți solicitați, aceasta fiind justificat de faptul că la momentul implementării soluțiilor ofertate din aplicațiile existente din a căror baze de date, deja existente, se vor importa toate elementele solicitate în caietul de sarcini al procedurii. Față de cele mai sus reținute, Consiliul are în vedere că, dată fiind specificitatea contractului, importanța acestuia și rezultatele așteptate de la derularea proiectului, asigurarea posibilității depunerii unor oferte conforme, autoritatea contractantă a depus toate diligențele necesare întocmirii unei documentații care să țină seama de toate aspectele pe care le implică contractul de furnizare, luând în considerare specificul acestuia, astfel încât să poată fi asigurată derularea proiectului. Sunt incidente în soluționare cele prevăzute de AGENȚIA NAȚIONALĂ PENTRU ACHIZIȚII PUBLICE (A.N.A.P.) în Instrucțiunea nr. 258/2017, referitoare la elaborarea fișei de date, unde legiuitorul recomandă următoarele: ”Calificările educaționale și profesionale: (...) „În cazul personalului ce va realiza efectiv activitățile contractului ce urmează a fi atribuit - expertul/experții-cheie a cărui/căror calificare, experiență profesională și/sau mod de organizare poate reprezenta un avantaj competitiv de natură a influența în mod direct calitatea executării contractului și, prin urmare, valoarea economică a ofertei, ofertantul urmează să dovedească modul în care dispune de aceștia la nivelul propunerii tehnice. Autoritatea contractantă va formula cerințe pentru acest personal la nivelul caietului de sarcini. " Pagina 22 din 25

În raport de cele mai sus reținute, analizând conținutul caietului de sarcini, Consiliul constată că deși autoritatea contractantă nu indică, în mod clar, atribuțiile ce urmează a fi avute de persoana nominalizată pentru funcția de expert calitate și securitate informatică, în cuprinsul punctului de vedere nr. 16275/29.03.2022 autoritatea contractantă precizează că „în ordinul nr. 493 din 15 iunie 2009 privind normele tehnice și metodologice pentru aplicarea Legii nr. 135/2007 privind arhivarea documentelor în formă electronică, capitolul III, art. 5, litera b), punctele 1-7 - documente din care să rezulte că sistemul electronic de arhivare îndeplinește următoarele cerințe funcționale: 1. asigură mijloacele de control și de securitate a documentelor și a bazei de date; 2. menține integritatea internă, funcționarea și coerența sistemului și a bazei de date; 3. asigură conservarea pe termen nelimitat a documentelor cu caracter permanent și eliminarea definitivă a celor cu termen de păstrare expirat, potrivit nomenclatorului arhivist ic, cu excepția situațiilor prevăzute de lege; 4. asigură procesele de introducere a documentelor în sistemul de administrare; 5. asigură funcția de căutare a documentelor; 6. asigură accesul la documentele stocate în arhivă, cu respectarea regimului de acces stabilit, precum și prezentarea indiferent de formă (afișare, printare etc.) a documentelor; 7. asigură funcțiile de administrare și ștergere a documentelor, garantându-se controlul operațiunilor în vederea înlăturării riscului accesului neautorizat la documente și al distrugerii necorespunzătoare de documente; Toate aceste cerințe specifice unui astfel de proiect presupun - management de proiect, management de calitate cu expertiza în securitate informatica, servicii IT și arhivare electronica, precum și în auditarea Întregului proces de implementare”. Astfel, Consiliul constată că perfecționările/formările profesionale solicitate la nivelul caietului de sarcini pentru expert calitate și securitate informatică sunt în corelație cu prevederile Ordinului nr. 493/2009, tipul de experți solicitați fiind justificat de specificul obiectului contractului, respectiv furnizarea de servicii de digitalizare și arhivare și a unei soluții software de arhivare electronică. Din economia celor mai sus reținute, Consiliul apreciază că achizitoarea a explicat și argumentat rațiunea pentru care a formulat cerințe pentru expert calitate și securitate informatică la nivelul caietului de sarcini, motiv pentru care respinge, ca nefondate, criticile formulate sub acest aspect. Referitor la criticile ce vizează cerințele pentru expert securitate informatică, Consiliul reține ca fiind relevante în soluționare susținerile autorității contractante potrivit cărora „întreaga documentație de atribuire (inclusiv aspectele regăsite în criticile contestatoarei) a fost analizata și avizata pozitiv de către Comitetul Tehnico-Economic pentru Societatea Informațională (CTE) care verifica proiectul cu privire la următoarele aspecte: • Asigura interoperabilitatea cu sistemele existente Pagina 23 din 25

• Nu au mai existat proiecte cu același obiectiv / rezultat așteptat • Nu se suprapune funcțional cu alte sisteme existente sau în dezvoltare • Este în conformitate cu obiectivele Strategiei Autorității pentru Digitalizarea României • Este în conformitate cu obiectivele Strategiei Naționale de Securitate Cibernetica Din întreg procesul de avizare al proiectului de către CTE (care a constat în o serie de întâlniri ale comisiei cu personalul autorității contractante - proces în care au fost revizuite aspecte la cererea experților CTE) și documentația de avizare solicitata, reiese importanța specialiștilor în securitatea informației pentru conformitatea obiectivele strategiilor naționale din domeniul tehnologiei informației, comunicațiilor și societatii informaționale și cu strategia naționala de securitate cibernetica”. În acest sens, Consiliul reține că în cuprinsul dosarului achiziției, transmis de către autoritatea contractantă în conformitate cu prevederile art. 18 alin. (2) din Legea nr. 101/2016, se regăsește Avizul pozitiv nr. 186CTE din 24.02.2022 emis de către Autoritatea pentru Digitalizarea României pentru specificațiile tehnice aferente caietului de sarcini emis în procedura de atribuire având ca obiect „Servicii de digitalizare, arhivare electronică și fizică pentru documentele Direcției Generale de Asistență Socială și Protecția Copilului Sector 6”. Prin urmare, Consiliul constată că impunerea de către autoritatea contractantă ca ofertanții să dețină un expert securitate informatică este justificat de autoritatea contractantă, acesta având rolul de a identifica vulnerabilitățile existente doar în cadrul aplicației software, spre deosebire de expert calitate și securitate informatică care are rolul de a audita întregul proces de asigurare a securității informatice a întregului proiect, cu privire la implementarea și respectarea de proceduri, în conformitate cu prevederile legale privind arhivarea documentelor în formă electronică, motiv pentru care respinge, ca nefondate, criticile formulate de ... S.R.L. cu privire la eliminarea expertului pentru securitate informatică. Astfel, Consiliul constată că nu se impune remedierea documentației de atribuire sub aspectele indicate de ... S.R.L. Acestea fiind, în contextul de fapt și de drept anterior expus, în temeiul prevederilor art. 26 alin. (6) din Legea nr. 101/2016, Consiliul respinge, ca nefondată, contestația formulată de ... S.R.L., în contradictoriu cu .... Pentru aceste motive, în baza legii și a mijloacelor de probă aflate la dosar, CONSILIUL DECIDE: Respinge contestația formulată de către ... S.R.L., cu sediul în ..., în contradictoriu cu ..., cu sediul în ..., ca nefondată. Prezenta decizie este obligatorie pentru părți. Pagina 24 din 25

Împotriva prezentei decizii se poate formula plângere, în termen de 10 zile de la comunicare pentru părțile cauzei, respectiv de la data luării la cunoștință de către alte persoane vătămate. PREȘEDINTE, MEMBRU, MEMBRU, ... ... ... Pagina 25 din 25