Decizie CNSC 3359/2024

În conformitate cu prevederile art. 14 alin. (2) și ale art. 27 alin. (1) din Legea nr. 101/2016 privind remediile și căile de atac în materie de atribuire a contractelor de achiziție publică, a contractelor sectoriale și a contractelor de concesiune de lucrări și concesiune de servicii, precum și pentru organizarea și funcționarea Consiliului Național de Soluționare a Contestațiilor, Consiliul adoptă următoarea DECIZIE Nr. 3359/C7/3879 Data: 26.11.2024 Prin contestația fără număr de înregistrare la emitent, datată 04.11.2024, transmisă prin mijloace electronice (e-mail), înregistrată la Consiliu sub nr. 70910/05.11.2024, formulată de ITPS SRL, cu sediul în Calea Lugojului nr. 7, Ghiroda, județul Timiş, înmatriculată în Registrul Comerțului sub nr. J35/446/2005, având CUI RO17236996, reprezentată legal de administrator Cristian - Gabriel Leoveanu, formulată împotriva Răspunsului consolidat la solicitările de clarificări, înregistrat sub nr.101.1/1848/ 24.10.2024, emis în cadrul procedurii de atribuire, organizată de COMPANIA NAŢIONALĂ POŞTA ROMÂNĂ SA, în calitate de entitate contractantă, cu sediul în str. Dacia nr. 140, sector 2, Bucureşti, cod postal 020065 în vederea atribuirii contractului având ca obiect „Servicii de cloud privat și colocare”, inițiată prin anunțul de participare nr. CN 1073481 din data de 23.09.2024, cod CPV 72317000-0 (Rev.2), s-a solicitat următoarele: 1. Suspendarea procedurii de atribuire, până la soluţionarea contestaţiei, având în vedere că termenul de depunere a ofertelor este 05.11.2024; 2. Anularea răspunsului consolidat la solicitările de clarificări pentru procedura de achiziţie „Servicii de cloud și colocare", procedura CNPR nr. RO 427410-2024-183.01, anunţ de participare CN 1073481, înregistrat sub nr. 101.1/1848/24.10.2024, publicată în Sistemul Electronic de Achiziţii Publice la data de 24.10.2024, răspuns pe care îl consideră netemeinic şi nelegal în privinţa solicitărilor adresate de către ITPS SRL, prin raportare la prevederile Legii nr. 99/2016; 3. În principal, obligarea COMPANIEI NAŢIONALE POŞTA ROMÂNĂ S.A. la eliminarea şi, după caz, înlocuirea cerinţelor din documentaţia de atribuire (fişă de date şi caiet de sarcini) - cerinţe care instituie obstacole nejustificate în accesul operatorilor economici la procedură şi sunt de Pagina 1 din 2

natură să restrângă concurenţa - şi obligarea entității contractante la reluarea etapei de depunere a ofertelor în cadrul procedurii, cu respectarea termenului de 10 zile menţionat în cuprinsul prevederilor art. 173 alin. (1) din Legea nr. 99/2016 privind achiziţiile sectoriale. 4. În subsidiar, în măsura în care Consiliul va aprecia că măsurile de remediere solicitate nu permit continuarea legală a procedurii, se solicită anularea acesteia. Prin Încheierea nr. 3592/C7/3879 din data de 11.11.2024, Consiliul a respins ca rămasă fără obiect, cererea de suspendare a procedurii de atribuire, formulată de ITPS SRL. Procedura de soluționare în fața Consiliului s-a desfășurat în scris. CONSILIUL NAȚIONAL DE SOLUȚIONARE A CONTESTAȚIILOR, asupra cauzei de față, constată următoarele: Pentru aceste motive, în baza legii și a mijloacelor de probă aflate la dosar, CONSILIUL DECIDE: Respinge, ca nefondată, contestația formulată de societatea ITPS SRL, în contradictoriu cu entitatea contractantă COMPANIA NAŢIONALĂ POŞTA ROMÂNĂ SA. Prezenta decizie este obligatorie pentru părți, în conformitate cu dispozițiile art. 28 alin. (1) din Legea nr. 101/2016. Împotriva prezentei decizii se poate formula plângere, în termen de 10 zile de la comunicare pentru părțile cauzei, respectiv de la data luării la cunoștință de către alte persoane vătămate. PREȘEDINTE, MEMBRU, MEMBRU, Redactat în 4 exemplare originale, conține 34 pagini Pagina 2 din 2

În conformitate cu prevederile art. 14 alin. (2) și ale art. 27 alin. (1) din Legea nr. 101/2016 privind remediile și căile de atac în materie de atribuire a contractelor de achiziție publică, a contractelor sectoriale și a contractelor de concesiune de lucrări și concesiune de servicii, precum și pentru organizarea și funcționarea Consiliului Național de Soluționare a Contestațiilor, Consiliul adoptă următoarea DECIZIE Nr. .... Data: ... Prin contestația fără număr de înregistrare la emitent, datată ...., transmisă prin mijloace electronice (e-mail), înregistrată la Consiliu sub nr. (...), formulată de (...), cu sediul în (...), înmatriculată în Registrul Comerțului sub nr. (...), având CUI (...), reprezentată legal de administrator (...), formulată împotriva Răspunsului consolidat la solicitările de clarificări, înregistrat sub nr.101.1/1848/ 24.10.2024, emis în cadrul procedurii de atribuire, organizată de (...), în calitate de entitate contractantă, cu sediul în (...)în vederea atribuirii contractului având ca obiect „(...)”, inițiată prin anunțul de participare nr.(...)din data de 23.09.2024, cod CPV (...), s-a solicitat următoarele: 1. Suspendarea procedurii de atribuire, până la soluţionarea contestaţiei, având în vedere că termenul de depunere a ofertelor este 05.11.2024; 2. Anularea răspunsului consolidat la solicitările de clarificări pentru procedura de achiziţie „(...)", procedura CNPR nr. RO 427410-2024-183.01, anunţ de participare (...), înregistrat sub nr. 101.1/1848/24.10.2024, publicată în Sistemul Electronic de Achiziţii Publice la data de 24.10.2024, răspuns pe care îl consideră netemeinic şi nelegal în privinţa solicitărilor adresate de către (...), prin raportare la prevederile Legii nr. 99/2016; 3. În principal, obligarea (...)(...) S.A. la eliminarea şi, după caz, înlocuirea cerinţelor din documentaţia de atribuire (fişă de date şi caiet de sarcini) - cerinţe care instituie obstacole nejustificate în accesul operatorilor economici la procedură şi sunt de natură să restrângă concurenţa - şi obligarea entității contractante la reluarea etapei de depunere a ofertelor în cadrul procedurii, cu respectarea termenului de 10 zile menţionat în cuprinsul prevederilor art. 173 alin. (1) din Legea nr. 99/2016 privind achiziţiile sectoriale. Pagina 1 din 34

4. În subsidiar, în măsura în care Consiliul va aprecia că măsurile de remediere solicitate nu permit continuarea legală a procedurii, se solicită anularea acesteia. Prin Încheierea nr. (...)din data de ...., Consiliul a respins ca rămasă fără obiect, cererea de suspendare a procedurii de atribuire, formulată de (...). Procedura de soluționare în fața Consiliului s-a desfășurat în scris. CONSILIUL NAȚIONAL DE SOLUȚIONARE A CONTESTAȚIILOR, asupra cauzei de față, constată următoarele: Consiliul a fost legal sesizat și este competent, potrivit dispozițiilor art. 12 alin. (1) din Legea nr. 101/2016, să soluționeze contestația formulată de (...). În susţinerea contestaţiei, contestatorul arată că lecturând documentația de atribuire a remarcat faptul că modul în care entitatea contractantă a înţeles să formuleze cerinţele tehnice, parte din acestea având chiar o pondere semnificativă în cadrul criteriilor de atribuire, contravine flagrant prevederilor art. 165 alin. (6) din Legea 99/2016. În opinia sa cerinţele tehnice formulate în documentaţia de atribuire favorizează semnificativ un singur operator economic, în acelaşi timp excluzând posibilitatea participării oricărui alt operator la această procedură. Conform prevederilor legale ante menționate: „Specificaţiile tehnice trebuie să permită tuturor operatorilor economici accesul egal la procedura de atribuire şi nu trebuie să aibă ca efect introducerea unor obstacole nejustificate faţă de asigurarea unei concurenţe efective între operatorii economici". Prin urmare, contestatorul s-a prevalat de dreptul de a solicita clarificări cu privire la documentaţia de atribuire, sens în care a depus o asemenea solicitare în cadrul procedurii, cu respectarea termenului indicat de către entitatea contractantă. Contestatorul precizează că, deși a invocat argumente solide şi pertinente în susţinerea solicitărilor de eliminare sau, după caz, înlocuire a unor cerinţe din documentaţia de atribuire, entitatea contractantă le-a respins în integralitate, fără ca - din punctul său de vedere - să existe vreo justificare din partea acesteia. Având în vedere că parte din prevederile în privinţa cărora a solicitat clarificări descalifică mare majoritate a operatorilor economici care prestează (...) pe teritoriul României, iar restul favorizează în mod evident un singur operator economic, ceea ce se traduce într-o anulare a concurenţei reale în cadrul acestei proceduri de achiziţie, contestatorul menționează că se vedem nevoit să se adreseze CNSC în vederea remedierii acestei situaţii şi a restabilirii legalității. Punctual, contestatorul consideră că următoarele prevederi din documentaţia de atribuire încalcă articolul 165 alin. (6) din Legea 99/2016, pentru următoarele motive: Pagina 2 din 34

A. Cerinţa înscrisă la pagina 3 alin. (3) din caietul de sarcini, în cadrul capitolului 3 - Descrierea Serviciului: „Centrele de date trebuie să fie integrate cu reţele IP MPLS beneficiind de conectivităţi redundante, pe rute multiple de fibră optică, NX10gb și NX100gb oferind o disponibilitate de 99,98% conform standard TIA942", coroborată cu cea de la pagina 17 din Caietul de sarcini, punctul 12 - Criteriul de atribuire, criteriul P2 Caracteristici tehnice: Interoperabilitatea centrului de date cu reţeua de comunicaţii, reluată şi în fişa de date la pagina 3, în cadrul punctului II.2.5 Criterii de atribuire: „Ofertantul al cărui centru/centre de date proprietar este diferit de furnizorul reţelei de comunicaţii IP MPLS se acordă 0 puncte. Pentru ofertantul care deţine atât centrul/centrele de date cât și reţeaua integrate de comunicaţii IP MPLS se acordă punctajul maxim, respectiv 10 puncte". Așadar, contestatorul solicită Consiliului să observe faptul că aceste prevederi din documentaţia de atribuire contravin prevederilor art. 165 alin. (2) din Legea nr. 99/2016 - „Caracteristicile prevăzute la alin.(1) pot de asemenea să vizeze procesul sau metoda specifică de execuţie a lucrărilor, fabricaţie a produselor sau prestare a serviciilor solicitate ori un proces specific pentru un alt stadiu al ciclului de viaţă al acestora, chiar dacă aceste elemente nu fac parte din conţinutul material al produselor, lucrărilor sau serviciilor care urmează să fie achiziţionate, dar cu condiţia că aceste caracteristici să aibă legătură cu obiectul contractului sectorial/acordului- cadru şi să fie proporţionale prin raportare la valoarea şi obiectivele acestuia”. Or, cerinţele pe care înţelege să le atace impun descalificarea, sau cel puţin defavorizarea, eventualilor ofertanţi care: - nu sunt noduri de comunicaţii care asigură NX10Gb și NX100Gb (NX = network exchange), specifice furnizorilor de servicii internet; - nu deţin reţeaua integrată IP MPLS, specifice furnizorilor de servicii internet. Contestatorul mentionează că cerinţele de disponibilitate la care se face referire (oferind o disponibilitate de 99,98% conform standard TIA942) pot fi îndeplinite conform standardului menţionat şi prin alte tehnologii decât reţele IP MPLS, dintre care cele mai utilizate fiind: reţele rutate Layer3 (criptate suplimentar sau nu), tehnologii care utilizează VLAN tagging - IEEE 802.1Q (nativ necriptat, la fel ca IP MPLS). În plus, criteriul de disponibilitate solicitat (99,98%) poate fi atins folosind oricare alt protocol de comunicaţie, chiar şi dintre cele menţionate mai sus. În modalitatea în care entitatea contractantă a înţeles să le formuleze, cerinţele pot fi îndeplinite strict de către un ofertant care are şi calitatea de furnizor de servicii de internet, acestea fiind singurele entităţi care deţin în proprietate noduri de comunicaţii. Pe de altă parte, tehnologia MPLS se implementează la nivelul echipamentelor furnizorului serviciului de comunicaţii, fiind o tehnologie pe care doar acesta o deţine şi o controlează. Pagina 3 din 34

Totodată, contestatorul menţionează că scopul avut în vedere de către entitatea contractantă cu aceste prevederi de comunicaţii și disponibilitatea solicitată – poate fi atins fără a indica o tehnologie restrictivă din punctul de vedere al entităţilor care o pot asigura. Prin urmare, contestatorul consideră că prevederile din documentaţia de atribuire favorizează furnizorii de servicii de comunicaţii şi restrâng posibilitatea de participare a altor proprietari de centre de date care pot furniza serviciile cerute de entitatea contractantă la un nivel echivalent în ceea ce priveşte interoperabilitatea şi disponibilitatea, dar folosind alte tehnologii. Mai mult decât atât, contestatorul susține că aceste cerinţe sunt disproporționate în raport cu natura şi complexitatea contractului a cărui atribuire se urmăreşte, ceea ce încalcă şi dispoziţiile art. 37 alin. (1) lit. b) din Normele Metodologice de aplicare a Legii nr. 99/2016. În plus, în ceea ce priveşte răspunsul cvasi argumentat al entității contractante la solicitarea de eliminare a acestor prevederi din documentaţia de atribuire, în sensul că schimbarea tehnologiei ar impacta serviciul VPN MPLS care a fost precontractat şi care este în derulare pentru încă doi ani, această afirmaţie este neadevărată. Interconectarea unui centru de date cu reţeaua entității contractante se poate face, din punct de vedere tehnic, prin multiple modalităţi, fără absolut niciun impact asupra serviciului pe care (...) l-a contractat deja. În plus, faptul că entitatea contractantă foloseşte în prezent o anumită tehnologie, nu justifică limitarea concurenţei în prezenta procedură într-o asemenea măsură încât să favorizeze în mod evident acelaşi operator economic şi în cadrul prezentei proceduri. B. Cu privire la cerinţa înscrisă la pagina 3, alin. (4) din caietul de sarcini, în cadrul capitolului 3 - Descrierea Serviciului: „Ofertantul trebuie să deţină în proprietate toate activele centrelor de date (clădiri, terenuri, etc).”. Contestatorul solicită eliminarea acesteia din cuprinsul documentaţiei de atribuire întrucât titlul de proprietate asupra clădirii sau terenului nu este un criteriu care este de natură să impacteze calitatea serviciilor solicitate prin cuprinsul documentaţiei de atribuire, câtă vreme ofertanţii interesaţi se obligă să asigure o disponibilitate a serviciilor în 99,982%. Mai mult decât atât, acest tip de criteriu restrânge şi el posibilitatea de participare la procedură a unor ofertanți care nu sunt proprietarii terenului sau clădirilor care găzduiesc centrele lor de date, ceea ce restrânge nejustificat şi concurența în această procedură. Câtă vreme ofertanţii pot demonstra că exploatează în mod legal activele centrelor de date, cerinţa privind deţinerea lor în proprietate este excesivă şi se impune a fi înlăturată. Pe de altă parte, contestatorul susține că argumentul invocat de către entitatea contractantă în răspunsul la consolidat la solicitarea de clarificări, în sensul că se doreşte asigurarea unei stabilităţi şi predictibilităţi pe toată durata contractului, nu constituie un argument pertinent pentru a respinge solicitarea sa de eliminare a acestei cerinţe din cuprinsul documentaţiei de atribuire. Pagina 4 din 34

Contestatorul subliniază că atâta vreme cât un ofertant poate dovedi faptul că are dreptul să exploateze în mod legal activele asociate centrului de date pe durata contractului încheiat cu entitatea contractantă, menţinerea acestei cerinţe în documentaţia de atribuire nu se justifică şi, în corelare cu argumentele expuse mai sus şi în cele ce urmează şi care justifică concluzia că entitatea contractantă a urmărit să favorizeze un anumit operator economic în cadrul acestei proceduri. C. Cu privire la cerinţa înscrisă la punctul al treilea din cadrul capitolului 6. Cerinţe referitoare la ofertant - pagina 6 din caietul de sarcini: „Ofertantul trebuie să deţină un centru de date cu o certificare de minim Uptime Tier III by Design care să ateste un downtime pe an de maxim 1,6 ore și nu în ultimul rând, redundanţa, rezilienţa și respectarea cerinţelor privind disponibilitatea de 99,982% având posibilitatea de a asigura o furnizare aproape neîntreruptă. Această cerinţă este obligatorie ținând cont de specificul de activitate al Beneficiarului." Contestatorul solicită înlăturarea acesteia din cuprinsul documentaţiei de atribuire şi a tuturor menţiunilor similare tangenţiale acestei cerinţe şi înlocuirea acesteia cu cerinţa deţinerii autorizaţiei pentru centre de date emisă de către Ministerul Comunicaţiilor şi Societăţii Informaţionale, prin Autoritatea pentru Digitalizarea României, în temeiul Ordinului 489/2009 privind Normele metodologice de autorizare a centrelor de date. Totodată, contestatorul susține că argumentul principal pentru solicitarea sa este faptul că există doar 2 entităţi în România cu o certificare valabilă Uptime Tier III by Design, dintre care una singură poate activa din punct de vedere comercial şi ar putea avea calitatea de ofertant în procedura iniţiată de (...). Link-ul relevant la care pot fi consultate certificările emise de Uptime Tier III by Design este: https://uptimeinstitute.com/tier- certification/tier-certification-list. Contestatorul menționează că cele două entităţi care deţin certificare valabilă Tier III by Design sunt: - Orange Romania Communications şi STS Sibiu; - Orange Romania Communications Sa – certificare TIER III Design pentru centrul de date din Cluj-Napoca. STS Sibiu are certificare TIER III Design care expiră la 30.07.2025. Pe site mai sunt menţionate 2 entităţi, însă aceste certificări sunt expirate (Transfond - certificare expirată în 2010 și Cluster Power - expirată în mai 2024). Raportându-se la data desfăşurării procedurii de achiziţie, contestatorul susține că devine clar că singura societate care ar putea să satisfacă mulţumitor cerinţa înscrisă în documentaţia de atribuire este Orange Romania Communications pentru centrul de date din Cluj-Napoca. Oricărui alt operator de centru de date îi este limitată posibilitatea de a participa la această procedură datorită certificării pe care entitatea contractantă înţelege să o solicite, aspect care contravine în mod flagrant liberei concurenţe. Raportându-se la autorizaţia sau certificarea pe care un centru de date o poate obţine în România, contestatorul menționează că există Autoritatea Pagina 5 din 34

pentru Digitalizarea României (ADR), care poate emite o autorizare pentru centrele de date, în baza prevederilor Ordinului nr. 489/2005 privind Normele metodologice de autorizare a centrelor de date, emis de către Ministerul Comunicaţiilor şi Societăţii Informaţionale. De altfel, pe teritoriul României există câteva zeci de centre de date cu o asemenea autorizare. În continuare, contestatorul prezintă unele criterii pe care trebuie să le îndeplinească centrele de date pentru a fi autorizate și menţionează că pentru a dobândi autorizarea din partea Autorității pentru Digitalizarea României, centrele de date interesate trec printr-un proces riguros de audit, care relevă implementarea tuturor acestor cerinţe, inclusiv a celor privind asigurarea disponibilităţii. Raportat la aspectele menţionate, contestatorul consideră că înlocuirea cerinţei privind deţinerea unei certificări Tier III by Design cu cerinţa deţinerii unei autorizări emise de către o autoritate naţională este pe deplin justificată şi deschide calea unei reale concurenţe între operatorii economici. Respingerea solicitării (...) în acest sens, fără niciun argument din partea entității contractante, aceasta rezumându-se să menţioneze că nu modifică prevederile caietului de sarcini, nu face altceva decât să întărească concluzia că se încearcă favorizarea atribuirii contractului de achiziţie publică către (...)S.A., aspect care contravine reglementărilor în materia contractelor sectoriale. În plus, contestatorul precizează că solicitarea unui element de certificare/acreditare emis de o companie înregistrată în Statele Unite ale Americii nu are relevanţă asupra cadrului legislativ naţional sau european în domeniu, în condiţiile în care există o autoritate naţională care reglementează acest subiect, motiv pentru care consideră că acestă cerință este excesivă şi necorespunzătoare. D. În ceea ce priveşte cerinţa înscrisă la punctul 12 - Criteriul de atribuire, P2 Caracteristici tehnice: Capacitate de stocare în cloud şi back-up - „Prin acest criteriu - Capacitate de stocare în cloud și backup Beneficiarul doreşte să obţină un avantaj în procesul de recuperare rapidă a datelor, asigurându-se astfel continuitatea. Punctajul maxim care se poate obţine pentru acest criteriu este de 20 de puncte. Pentru ofertantul ce deţine capacitatea de stocare în cloud şi backup solicitată în cadrul unui singur centru de date se acordă 0 puncte. Pentru ofertantul ce deţine capacitatea de stocare în cloud şi backup în cadrul a două centre de date redundante geografic şi seismic, cu distanţă de minim 100 km între ele se acordă 10 puncte. Pentru ofertantul ce deţine capacitatea de stocare în cloud şi backup în cadrul a trei centre de date redundante geografic şi seismic, cu distanţă de minim 100 km între ele se acordă punctajul maxim, respectiv 20 puncte”, contestatorul solicită eliminarea acestei cerinţe din cuprinsul documentaţiei de atribuire întrucât şi aceasta reduce în mod nejustificat punctajul ofertanţilor interesaţi la procedura de atribuire a contractului Servicii de Cloud Privat și de Colocare, iniţiat de entitatea contractantă. În raport cu obiectul declarat al achiziţiei publice, respectiv „o componentă de backup a tuturor datelor cu o capacitate de minim 300TB" - Pagina 6 din 34

conform pct. II.2.4 din fişa de date - numărul de centre de date în care se află capacitatea primară de stocare şi cea de backup este irelevantă întrucât entitatea contractantă nu menţionează în niciun moment în cuprinsul documentaţiei de atribuire că s-ar urmări ca un eventual al doilea sau al treilea centru de date să joace şi rolul de centru de date de disaster recovery. În condiţiile în care toate standardele internaţionale vorbesc despre un model de backup 3-2-1, respectiv existenţa a trei copii a datelor, pe două medii diferite, iar un backup să fie salvat în altă locaţie, fără alte cerinţe suplimentare legate de distanţa dintre locaţii sau necesitatea de a se găsi pe plăci tectonice diferite, contestatorul apreciază că o cerinţă care să reflecte acest standard este arhisuficientă pentru nevoile actuale ale entității contractante. Ca și argument suplimentar, contestatorul amintește şi faptul că furnizorii de servicii de poştă sunt calificaţi ca fiind organizaţii importante în cadrul proiectului de lege care transpune în dreptul intern Directiva NIS2, proiect care a fost lansat în dezbatere publică de către DNSC la data de 15.08.2024. Contestatorul susține că prin coroborarea prevederilor art. 6 alin. (1) lit. b) cu Anexa 2, rezultă în mod clar faptul că serviciile poştale sunt importante şi nu critice. Or, odată ce legea care defineşte cerinţele de rezilienţă informatică la nivelul diferitelor entităţi califică entitatea contractantă ca fiind doar o entitate importantă, contestatorul apreciază că nu se poate justifica excesul de zel privind necesitatea de a ţine datele în trei centre de date diferite. Prin urmare, contestatorul solicită eliminarea cerinţei din cuprinsul documentaţiei de atribuire şi înlocuirea acesteia cu următoarea cerinţă: „Prin acest criteriu - Capacitate de stocare în cloud și backup Beneficiarul doreşte să se alinieze bunelor practici statornicite în materie de backup, respectiv dezideratului că una din copiile de siguranţă a datelor să fie stocată în altă locaţie faţă de echipamentele/sistemele sursă ale datelor . Punctajul maxim care se poate obţine pentru acest criteriu este de 20 de puncte. Pentru ofertantul ce deţine capacitatea de stocare în cloud şi backup solicitată în cadrul unui singur centru de date se acordă 0 puncte. Pentru ofertantul ce deţine capacitatea de stocare în cloud și backup în cadrul a două centre de date diferite, se acordă 20 puncte". E. În ceea ce priveşte cerinţa înscrisă la punctul 6 - Cerinţe referitoare la ofertant, Cerinţe minime obligatorii legate de experţi, pentru Arhitect Cloud se solicită să deţină o certificare validă în automatizarea scriptată de infrastructuri cloud IaaS prin metodologia IaC - Infrastructure aș Code. Contestatorul solicită eliminarea acestei cerinţe din cuprinsul documentaţiei de atribuire întrucât limitează în mod nejustificat participarea ofertanţilor interesaţi la procedura de atribuire a Contractului Servicii de Cloud Privat și de Colocare iniţiat de entitatea contractantă, prin raportare la serviciile ce se cer a fi asigurate în baza contractului. Pagina 7 din 34

De asemenea, contestatorul solicită Consiuliul să observe că în cadrul caietului de sarcini, la punctul 3 - Descriere serviciului, în al treilea paragraf se menţionează faptul că „Prin serviciile achiziţionate, (...) S.A. va beneficia de (...) provizionarea de servere noi în mediu vrtualizat (...)", or automatizarea prin metodologia IaC - Infrastructure as Code - se utilizează de către DevOps în medii containerizate, despre care nu se regăseşte nicio menţiune în cuprinsul documentaţiei de atribuire. Prin urmare, consideră această cerintă nejustificată, restrictivă şi fără legătură cu obiectul achiziţiei, motiv pentru care reiterează solicitarea de eliminare a acesteia din cuprinsul documentaţiei de atribuire. Raportat la toate aspectele menţionate, contestatorul solicită Consiliul să observe că modul în care a fost elaborată documentaţia de atribuire nu respectă cerinţele Legii 99/2016 în ceea ce priveşte asigurarea unui acces egal al operatorilor economici la procedura de atribuire a contractului având ca obiect „(...)”, iniţiată de (...) S.A. Contestatorul consideră că din modul de redactare al documentaţiei, precum şi din modalitatea în care entitatea contractantă a înţeles să răspundă solicitărilor sale de clarificări, rezultă că se urmăreşte atribuirea contractului în favoarea unui anumit operator economic, care este favorizat, cel mai probabil în virtutea unor angajament contractuale preexistente. În concluzie, contestatorul reiterează solicitarea de anulare a răspunsului consolidat la clarificări publicat de C.N. (...) în data de 24.10.2024 în privinţa întrebărilor nr. 17 - 21 inclusiv şi obligarea entității contractante la eliminarea sau, după caz, înlocuirea cerinţelor contestate de către (...) în cadrul documentaţiei de atribuire. Contestatorul solicită accesul la dosar potrivit art. 19 din Legea nr. 101/2016. Totodată, în situaţia în care nu ar fi posibilă remedierea neconcordanţelor actului atacat, contestatorul solicită anularea procedurii, în conformitate cu dispoziţiile art. 26 alin. (2) lit. c) din Legea nr. 101/2016. Prin adresa nr. (...), înregistrată la CNSC sub nr. (...), (...) a transmis Consiliul punctul său de vedere cu privire la contestația formulată de (...), precizând următoarele: La punctul A, contestatarul doreşte eliminarea tuturor prevederilor din caietul de sarcini ce fac referire la tehnologii de comunicaţii tip IP MPLS. Aşa cum a transmis şi în răspunsul de clarificare, enitatea contractantă susţine faptul că tehnologia IP MPLS este utilizată în întreaga infrastructură a (...)(...) S.A. pentru un număr de peste 1800 de locaţii şi prin urmare o schimbare a tehnologiei aşa cum doreşte contestatarul ar impacta ireversibil şi furnizarea actualului contract de servicii de VPN producând reale probleme de interconectare a echipamentelor şi perturbări în rutarea întregului trafic criptat către serverele şi bazele sale de date (fie ele aflate în viitoarea soluţie de cloud sau servere fizice colocate în data center-ul ofertantului declarat câştigător la finele acestei proceduri de achiziţie). Această interconectare a centrelor de date cu reţeaua de comunicaţii este o arhitectură care permite atât o administrare eficientă a traficului de date, cât şi optimizarea fluxurilor de lucru în situaţiile critice, cum ar fi incidentele tehnice. Prin utilizarea unei Pagina 8 din 34

reţele MPLS, rutele multiple şi redundante disponibile ajută la menţinerea unei conexiuni stabile chiar şi în caz de avarii pe una dintre legături. La punctul B, contestatarul doreşte eliminarea cerinţei prin care „Ofertantul trebuie să deţină în proprietate toate activele centrelor de date (clădiri, terenuri, etc.)". Entitatea contractantă nu este de acord cu eliminarea acestei cerinţe, datorită faptului că pentru un furnizor de servicii de găzduire a datelor, deţinerea în proprietate a centrelor de date, inclusiv a clădirilor şi terenurilor, are o importanţă strategică majoră în furnizarea serviciilor ce se doresc a fi contractate. Aceasta oferă un control mai mare asupra infrastructurii critice, permite gestionarea eficientă a infrastructurii şi contribuie la securitatea datelor şi conformitatea cu reglementările. 1. Control total asupra infrastructurii şi operaţiunilor. - Gestionarea resurselor: Deţinerea centrelor de date le permite furnizorilor să îşi administreze infrastructura, fără constrângerile impuse de proprietari sau alte companii de închiriere. - Optimizarea spaţiului şi extinderea facilă: Furnizorul poate proiecta şi ajusta spaţiul conform nevoilor de dezvoltare şi extindere a infrastructurii viitoare a clientului fără a depinde de aprobări externe sau restricţii impuse de un proprietar terţ. 2. Securitate fizică şi protecţie mai bună a datelor. - Controlul accesului: Deţinerea clădirii permite furnizorului să implementeze măsuri stricte de securitate fizică, cum ar fi sisteme avansate de monitorizare, garduri de protecţie fără constrângerile impuse de proprietari sau alte companii de închiriere şi personal de securitate dedicat. Acestea sunt esenţiale pentru protejarea echipamentelor şi datelor sensibile ale clienţilor. - Reducerea riscurilor asociate cu proprietarii terţi: într-un spaţiu închiriat, riscurile de acces neautorizat sau de partajare a spaţiului cu alte organizaţii pot fi mai mari. Deţinerea clădirii şi a terenului reduce astfel de riscuri şi contribuie la asigurarea unui nivel mai ridicat de securitate fizică. 3. Continuitatea afacerii şi reducerea riscului operaţional. - Stabilitate şi predictibilitate: Proprietatea asigură stabilitate pe termen lung, deoarece furnizorul nu este expus riscurilor de evacuare sau relocare (cazuri impuse de forţa majoră) din partea proprietarilor terţi. Astfel, îşi poate desfăşura activitatea fără teama că va pierde accesul la infrastructura sa esenţială. 4. Conformitate cu reglementările şi cerinţele legale. - Respectarea reglementărilor locale şi internaţionale: Deţinerea în proprietate a centrelor de date ajută furnizorii să îndeplinească cerinţele de reglementare privind protecţia datelor şi conformitatea. - Certificări de securitate şi standarde: Certificări precum ISO 27001, SOC 2 sau Uptime Institute Tier III şi IV necesită deseori măsuri stricte de securitate şi control al accesului, care pot fi mai uşor implementate într-o clădire deţinută în proprietate. 5. Confidenţialitatea şi protecţia datelor. (...) S.A. este considerată o entitate esenţială în România datorită rolului său strategic în asigurarea serviciilor de comunicaţii şi logistică de Pagina 9 din 34

importanţă naţională. Această poziţie esenţială este atribuită datorită mai multor factori care subliniază importanţa şi impactul acestei instituţii asupra economiei, societăţii şi infrastructurii naţionale. În calitatea sa de operator naţional în domeniul serviciilor poştale, furnizor unic de serviciu universal, în orice punct de pe teritoriul naţional, entitatea contractantă dorește ca aceste servicii să fie contractate de un furnizor care să poată asigura control total asupra centrelor de date, garantând că datele companiei sale sunt gestionate într-un mediu controlat şi sigur. La punctul C, contestatarul doreşte înlocuirea cerinţei - „Ofertantul trebuie să deţină un centru de date cu o certificare de minim Uptime Tier III by Design care să ateste un downtime pe an de maxim 1,6 ore şi nu în ultimul rând, redundanţa, rezilienţa şi respectarea cerinţelor privind disponibilitatea de 99,982% având posibilitatea de a asigura o furnizare aproape neîntreruptă", cu o autorizaţie emisă de Ministerul Comunicaţiilor şi Societăţii Informaţionale, prin Autoritatea pentru Digitalizarea României în temeiul Ordinului 489/2009 privind Normele metodologice de autorizare a centrelor de date. Entitatea contractantă precizează faptul că operatorul economic contestatar doreşte să inducă în eroare Consiliul făcând referire la o autorizaţie de funcţionare emisă de către Autoritatea pentru Digitalizarea României, o autorizaţie din care nu reiese şi nu sunt identificate criterii de disponibilitate a serviciului pe care furnizorii din piaţa de profil îl prestează ci doar că aceştia pot opera şi funcţiona un datacenter. Singurul organism recunoscut la nivel mondial ce poate elibera şi certifica un datacenter cu privire la disponibilitatea sa (timpul de downtime maxim într-un an) este Uptime Institute. Certificarea Tier III by Design oferă garanţia că centrul de date a fost proiectat pentru a susţine continuu activităţi de afaceri fără întreruperi şi poate face faţă provocărilor operaţionale şi de mentenanţă. Entitatea contractantă susţine necesitatea acestui standard din următoarele motive: 1. Disponibilitate ridicată şi continuitate operaţională. - Minim 99,982% disponibilitate anuală: Standardul Tier III by Design asigură o disponibilitate de aproape 99,982%, ceea ce înseamnă mai puţin de 1,6 ore de nefuncţionare neplanificată pe an. Această continuitate este esenţială pentru companiile care depind de funcţionarea permanentă a sistemelor IT cum este și (...). - Capacitatea de a evita întreruperile neplanificate: Arhitectura Tier III permite ca sistemele critice să rămână funcţionale chiar şi în timpul incidentelor, reducând astfel riscurile de întrerupere a activităţii şi de pierdere a datelor. 2. Redundanţă N+1 pentru componentele esenţiale. - Mentenanţă fără întrerupere: Certificarea Tier III by Design impune redundanţă N+1, ceea ce înseamnă că toate componentele critice au cel puţin un sistem de rezervă. Astfel, lucrările de mentenanţă pot fi efectuate fără a întrerupe activitatea centrului de date. Pagina 10 din 34

- Protecţie împotriva defectării echipamentelor: Dacă o componentă esenţială, cum ar fi un UPS sau un generator, se defectează, redundanţa N+1 permite centrului de date să continue să funcţioneze fără probleme. 3. Fiabilitate şi rezilienţă îmbunătăţite. - Capacitatea de a gestiona şi izola incidentele: Designul Tier III permite izolarea rapidă a problemelor şi comutarea automată pe echipamentele de rezervă, menţinând activitatea chiar şi în caz de avarie a unor componente critice. - Rezistenţă la incidente externe: Centrele de date certificate Tier III sunt proiectate să reziste la o gamă variată de factori de risc, cum ar fi fluctuaţiile de energie sau întreruperile de curent, prin utilizarea de generatoare şi alte sisteme de rezervă. 4. Respectarea celor mai înalte standarde de proiectare şi operare. - Garanţia unei arhitecturi robuste: Certificarea Uptime Institute Tier III by Design asigură că un centru de date îndeplineşte cele mai stricte standarde de proiectare şi operare, necesare a susţine activităţi critice. Aceasta este o garanţie pentru clienţi că arhitectura infrastructurii a fost proiectată cu atenţie la detalii şi cu măsuri de prevenţie riguroase. - Standarde internaţionale: Uptime Institute este recunoscut internaţional, la nivel mondial, iar certificarea Tier III este un indicator de calitate şi profesionalism. 5. Conformitate cu reglementările. Unele industrii impun respectarea unor standarde stricte de continuitate operaţională şi securitate. Tier III by Design asigură conformitatea cu cerinţele de reglementare şi standardele de operare. Având în vedere faptul că majoritatea serviciilor oferite de (...) S.A. sunt orientate permanent către client, Standardul Uptime Institute Tier III by Design este imperios necesar, deoarece oferă garanţia că un centru de date a fost proiectat pentru a asigura continuitatea operaţiunilor în cele mai multe situaţii de avarie şi necesităţi de mentenanţă. Acest nivel de proiectare contribuie la o arhitectură sigură, fiabilă şi conformă cu cele mai înalte standarde internaţionale, aspecte esenţiale pentru clienţii care depind de o disponibilitate constantă şi securitate ridicată a infrastructurii IT. La punctul D, contestatarul doreşte înlocuirea cerinţei înscrise la paginile 17-18 din caietul de sarcini, în cadrul capitolului 12 — Criteriul de atribuire, sub P2 Caracteristici tehnice: Capacitate de stocare în cloud şi back-up şi reluată şi la nivelul fişei de date, la paginile 2-3, în cadrul punctului II.2.5 Criterii de atribuire - „Prin acest criteriu - Capacitate de stocare în cloud şi backup Beneficiarul doreşte să obţină un avantaj în procesul de recuperare rapidă a datelor, asigurându-se astfel continuitatea. Punctajul maxim care se poate obţine pentru acest criteriu este de 20 de puncte. Pentru ofertantul ce deţine capacitatea de stocare în cloud şi backup solicitată în cadrul unui singur centru de date se acordă 0 puncte. Pentru ofertantul ce deţine capacitatea de stocare în cloud şi backup în cadrul a două centre de date redundante geografic şi seismic, cu distanţă de minim 100 km între ele se acordă 10 puncte. Pentru ofertantul ce deţine capacitatea de stocare în cloud şi backup în cadrul a trei centre de date Pagina 11 din 34

redundante geografic şi seismic, cu distanţă de minim 100 km între ele se acordă punctajul maxim, respectiv 20 puncte", cu cerinţa: „Prin acest criteriu - Capacitate de stocare în cloud şi backup Beneficiarul doreşte să se alinieze bunelor practici statornicite în materie de backup, respectiv dezideratului că una din singur centru de date se acordă 0 puncte. Pentru ofertantul ce deţine capacitatea de stocare în cloud şi backup în cadrul a două centre de date diferite, se acordă 20 puncte". Localizarea centrului de date principal la minim 100 km distanţă de centrul de date de backup oferă o serie de avantaje importante, mai ales în contextul continuităţii operaţionale şi a protecţiei împotriva dezastrelor. Această distanţă oferă un echilibru între accesibilitatea la infrastructură şi protecţia împotriva riscurilor comune de mediu. Entitatea contractantă prezintă câteva avantaje esenţiale ale acestei configurări: 1. Protecţie împotriva dezastrelor regionale. - Riscuri minime de afectare simultană: La o distanţă de minim 100 km, centrele de date sunt suficient de îndepărtate pentru a evita afectarea simultană de dezastre regionale (cum ar fi cutremure, inundaţii severe, incendii forestiere sau pene de curent majore). - Zonare seismică diferită: în multe cazuri, o distanţă de minim 100 km permite că cele două centre de date să fie în zone seismice diferite, reducând probabilitatea de afectare simultană în cazul unui cutremur. 2. Reducerea latenţei pentru replicarea datelor. - Replicare sincronă sau aproape sincronă: Această distanţă permite o latenţă suficient de scăzută pentru replicarea sincronă sau aproape sincronă a datelor între centrul principal şi cel de backup. Acest lucru este esenţial pentru continuitatea afacerii, deoarece datele sunt aproape în timp real şi recuperarea poate fi făcută rapid. - Backup rapid şi eficient: la 100 km, viteza de transfer este optimă pentru a susţine fluxuri mari de date, ceea ce înseamnă că backup-ul se realizează eficient şi fără a afecta performanţa aplicaţiilor. 3. Continuitatea afacerii şi recuperarea în caz de dezastru (DR). - Recuperare rapidă şi eficientă: distanţa de minim 100 km este potrivită pentru un plan de recuperare în caz de dezastru (DR). În caz de incident, centrul de backup poate prelua activităţile în mod aproape imediat, asigurând o continuitate a operaţiunilor cu un minim de pierdere de date şi întrerupere. - Testare şi verificare a planurilor DR: Datorită accesibilităţii oferite de această distanţă, echipele IT pot face mai uşor deplasări între centre pentru a testa şi verifica planurile de recuperare, ceea ce asigură o intervenţie rapidă şi eficientă în caz de necesitate. 4. Conformitate şi respectarea reglementărilor. - Conformitate cu cerinţele de distanţă pentru recuperarea datelor: Reglementări şi standarde de securitate recomandă distanţă de minim 100 km între centrul principal şi cel de backup pentru a minimiza riscurile de pierdere a datelor. Pagina 12 din 34

- Protecţie suplimentară pentru date sensibile: în special pentru companiile care gestionează date sensibile, separarea fizică dintre centrele de date contribuie la îndeplinirea cerinţelor de confidenţialitate şi siguranţă a datelor. Prin urmare, localizarea centrului de date principal la o distanţă de minim 100 km de centrul de backup este o soluţie echilibrată care maximizează securitatea, eficienţa şi fiabilitatea infrastructurii IT. Această distanţă permite o replicare eficientă a datelor, o protecţie solidă împotriva dezastrelor. La punctul E, contestatarul doreşte eliminarea cerinţei înscrise la pagina 9 din caietul de sarcini, la punctul 2. „Arhitect Cloud”, capitolul Cerinţe minime obligatorii legate de experţi, referitoare la deţinerea de către persoana nominalizată pentru această funcţie a unei certificări valide în automatizarea scriptată de infrastructuri cloud IaaS prin metodologia IaC — Infrastructure as Code. Entitatea contractantă subliniază principalele responsabilităţi ale unui Arhitect Cloud în implementarea IaC pentru infrastructurile IaaS ce vor justifica necesitatea: 1. Planificarea m¡graţiei şi scalabilitatea resurselor. a) evaluare iniţială şi analiză a nevoilor: Arhitectul Cloud analizează cerinţele organizaţiei pentru a crea un plan de migrare cloud care să asigure că infrastructura este pregătită pentru scalarea dinamică; b) definirea fluxurilor şi arhitecturii resurselor: Prin configurarea IaC, arhitectul poate defini tipurile de resurse necesare (servere virtuale, baze de date, reţele) şi le poate scala în mod automatizat în funcţie de cerinţele de încărcare; c) optimizare şi flexibilitate: în IaC, codul infrastructurii este flexibil şi poate fi modificat uşor pe baza evoluţiei cerinţelor şi a priorităţilor organizaţiei. Scalarea automatizată a resurselor se face prin setarea unor politici de auto-scaling care pot creşte sau reduce capacitatea infrastructurii în funcţie de cererea din sistem. 2. Automatizarea şi scriptarea infrastructurii cu IaC a) utilizarea de Instrumente IaC (Terraform, Ansible, CloudFormation, etc.): Arhitectul Cloud foloseşte aceste instrumente pentru a defini şi a implementa infrastructura prin cod, permiţând replicarea exactă a configurărilor pe diferite medii (dezvoltare, testare, producţie); b) scriptarea configurabilă: IaC permite dezvoltarea şi testarea configuraţiilor într-un mod predictibil şi reproductibil, reducând erorile umane şi facilitând auditarea modificărilor în codul infrastructurii; c) control al versiunilor şi colaborare: configuraţiile infrastructurii în format cod pot fi gestionate prin sisteme de versionare, ceea ce asigură istoricul şi controlul modificărilor, permiţând o colaborare eficientă între echipele de dezvoltare şi infrastructură. 3. Asigurarea măsurilor de securitate în mediul cloud. a) Criptare şi protecţia datelor: arhitectul defineşte şi implementează politici de criptare pentru protejarea datelor atât în tranzit, cât şi în repaus, Pagina 13 din 34

utilizând soluţii de criptare disponibile nativ în cloud (de exemplu, KMS - Key Management Services) ; b) Controlul accesului şi managementul identităţii: se implementează politici de acces controlat prin roluri şi permisiuni, utilizând soluţii IAM (Identity and Access Management) specifice fiecărei platforme cloud pentru a restricţiona accesul la resursele critice; c) Conformitate şi audit: Arhitectul Cloud asigură conformitatea infrastructurii cu standardele de securitate şi reglementările industriei (ex. GDPR, HIPAA), folosind IaC pentru a defini configuraţii şi politici ce permit auditarea şi urmărirea modificărilor. 4. Automatizarea scalării şi monitorizarea resurselor. a) Auto-scaling pe baza cerinţelor dinamice: arhitectul configurează auto-scaling automatizat pentru resurse (servere, baze de date, etc.), astfel încât acestea să se poată ajusta automat în funcţie de încărcarea aplicaţiilor. b) Monitorizarea şi alertarea proactivă: Pentru a asigura stabilitatea şi performanţa continuă a infrastructurii, arhitectul implementează soluţii de monitorizare şi alertare pentru metrici esenţiale, precum utilizarea CPU, memorie şi latenţa reţelei. c) Optimizare continuă: pe baza metricilor colectate, arhitectul poate ajusta periodic configuraţiile din codul IaC, asigurând că resursele sunt utilizate eficient şi că performanţa infrastructurii este optimizată în raport cu costurile. Având în vedere toate cele menţionate, entitatea contractantă consideră faptul că prin implementarea Infrastructure as Code şi a unui plan solid de migrare şi securitate, Arhitectul Cloud aduce scalabilitate, flexibilitate şi fiabilitate în infrastructura cloud. Automatizarea resurselor şi gestionarea lor prin cod nu doar că reduce riscurile şi timpul de configurare, dar oferă şi o bază solidă pentru adaptarea rapidă la noi cerinţe şi schimbări în mediu, asigurând serviciile de cloud privat la un nivel ridicat de performanţă şi siguranţă din punct de vedere al securităţii. Deşi, entitatea contractantă precizează că a motivat şi tratat flecare punct din contestaţia formulată de operatorul economic (...)S.R.L, solicită Consiliului respingerea acesteia, în principal, ca tardiv formulată şi, în subsidiar, ca nefondată, luând în considerare că, operatorul economic urmăreşte aceeaşi finalitate, respectiv aceea de a contesta anumite cerinţe din cadrul documentaţiei de atribuire. În acest sens, entitatea contractantă invocă și redă prevederile art. 8 alin. (1) lit. a) din Legea 101/2016. Având în vedere valoarea estimată a achiziţiei, respectiv 4.950.000 lei, prin raportare la pragul valoric stabilit la art. 12 alin. (1) lit. a) din Legea nr. 99/2016, pentru care este obligatorie publicarea de către entitatea contractantă a unui anunţ de participare (2.186.559 lei, pentru contractele sectoriale de produse şi de servicii, precum şi pentru concursurile de soluţii), entitatea contractantă menționează că în prezenta speţă, termenul de contestare aplicabil este cel de 10 zile. În ceea ce priveşte momentul de la care începe să curgă acest termen de 10 zile, dat fiind că prin contestaţia formulată, (...)S.R.L înţelege să Pagina 14 din 34

conteste prevederile documentaţiei de atribuire, entitatea contractantă apreciază că în speţă devin incidente prevederile exprese ale art. 8 alin. (2) din Legea nr. 101/2016, redat. Entitatea contractantă susține că documentaţia de atribuire a fost publicată în SEAP în data de 23.09.2024, astfel că termenul legal în care (...)S.R.L ar fi putut contesta prevederile acesteia s-a împlinit în data de 03.10.2024. În contextul în care, (...)S.R.L. a înaintat contestaţia către CNSC în data de 04.11.2024, entitatea contractantă solicită să se constate caracterul vădit tardiv al acesteia şi, pe cale de consecinţă, respingerea acesteia. Entitatea contractantă învederează Consiliului faptul că societatea (...)S.R.L. nu se poate prevala de data publicării în SEAP a răspunsului consolidat la solicitarea de clarificări, respectiv 24.10.2024, pentru a pretinde că, la data de 05.11.2024, când a fost înregistrată contestaţia la CNSC, aceasta ar mai fi fost în termen pentru promovarea contestaţiei. După cum afirmă chiar contestatarul în cuprinsul contestaţiei, prin răspunsul la solicitarea de clarificări, formulată de aceasta, entitatea contractantă nu a adus niciun fel de modificări la documentaţia de atribuire, după cum se poate observa din răspunsul consolidat la acestea, postat în SEAP, la data de 24.10.2024. Astfel, răspunsurile entităţii contractante la solicitările de clarificare formulate de contestatoare, ce se regăsesc de la întrebarea nr. 17 la întrebarea nr. 21 sunt: „Autoritatea contractantă păstrează neschimbate prevederile Caietului de sarcini". Neaducându-se niciun fel de modificare documentaţiei de atribuire, contestatorul nu se poate prevala de data publicării răspunsului consolidat la solicitările de clarificări pentru a înainta o contestaţie care să vizeze, în fapt, cerinţele existente la nivelul documentaţiei de atribuire (ce nu a fost contestată în termen legal). Pentru aceste motive, entitatea contractantă apreciază că termenul imperativ de 10 zile pentru formularea şi depunerea contestaţiei, dat fiind că se contestă documentaţia de atribuire, a început să curgă la data publicării documentaţiei de atribuire în SEAP, respectiv 23.09.2024 şi a expirat în 03.10.2024, ora 24:00. Totodată, entitatea contractantă precizează că este important de avut în vedere faptul că operatorul economic cunoştea aspectele reclamate din documentaţie, încă de la data publicării ei, respectiv data de 23.09.2024, şi trebuia să manifeste o minimă diligenţă pentru a le ataca în termenul legal, dacă dorea revizuirea documentaţiei şi dacă aprecia că cerinţele documentaţiei sunt nelegale şi/sau prezintă un caracter excesiv de natură a încălca principiile achiziţiilor sectoriale. Entitatea contractantă menționează că demersul litigios reprezintă, în realitate, o contestare a documentaţiei de atribuire, cum explicit recunoaşte chiar şi contestatorul ulterior, în cuprinsul contestaţiei (unde tratează în comun, fără vreo distincţie, punctele 2 şi 3 din contestaţie). Faptul că înţelege să facă referire şi la răspunsul consolidat, reflectă şi mai tare faptul că entitatea contractantă „NU” a modificat niciun element al documentaţiei de atribuire prin răspunsul consolidat la solicitările de clarificări. Pagina 15 din 34

În lumina celor prezentate, entitatea contractantă solicită Consiliului să respingă contestatia formulată de I.T.P.S SRL ca nefondată, luând in considerare aspectele de fapt și de drept evocate. Prin adresa nr. (...), înregistrată la CNSC sub nr. (...), (...) a comunicat Consiliului că renunță la cererea de studiere a dosarului nr. (...). Prin adresa nr. (...), înregistrată la Consiliu sub nr. (...), (...), a transmis Consiliului note scrise prin intermediul cărora precizează următoarele: În ceea ce priveşte solicitările de clarificări depuse în cadrul procedurii iniţiate prin anunţul de participare (...), contestatorul consideră că a acţionat cu respectarea drepturilor pe care legislaţia privind achiziţiile sectoriale i le recunoaşte şi în scopul respectării de către entitatea contractantă a principiilor care trebuie să guverneze aceste achiziţii, ceea ce denotă, din punctul său de vedere, tocmai seriozitatea sa în calitate de prestator de servicii de tip data center şi interesul pentru prezenta procedură de achiziţie. În cele ce urmează, contestatorul susține că va aduce argumente solide care vor arata că: - este perfect realizabil (şi chiar utilizat des în practică) interconectarea centrelor de date cu reţele existente de tip „MPLS” folosind şi alte protocoale de comunicaţii - fără a diminua securitatea, disponibilitatea şi uşurinţa în gestionarea reţelelor; - solicitarea privind deţinerea în proprietate a imobilelor de unde operează datacenterele nu are nici un impact asupra nivelului de disponibilitate şi securitate asociat serviciilor prestate; - solicitarea privind deţinerea unei autorizări specifice emise de un organism specific nominalizat este nefondată, unul din motive fiind că standardul TIA-942 este un standard public, deschis, iar certificarea solicitată este doar una din variantele comerciale de audit şi conformitate a acestui standard. E drept, un singur operator economic din România deține certificarea solicitată - dovezile în acest sens au fost transmise odată cu contestaţia. Contestatorul menționează că „Aceste elemente incluse de Autoritatea Contractantă în cadrul documentelor de achiziţie au ca unic scop restrângerea deliberată a concurenţei și posibilitatea calificării unui singur operator economic - (...). Dacă aceasta era intenţia Autorităţii Contractante atunci trebuia realizată altă procedură de achiziţie - cea de negociere cu o singură sursă”. În ceea ce priveşte susţinerile entității contractante pe fondul cauzei, contestatorul face următoarele precizări: Pentru argumentele expuse în legătură cu punctul A din contestație, se vede nevoit să contrazică afirmaţiile entității contractante în sensul că o diversificare a tehnologiei (şi nu schimbare, cum încearcă să sugereze că ar fi cerut) nu este de natură să impacteze ireversibil contractul aflat în derulare. De asemenea, contestatorul precizează că o diversificare a tehnologiei de comunicaţii ar presupune: Pagina 16 din 34

- interconectarea datacenterului din care se furnizează serviciile solicitate de cloud privat și colocare cu restul rețelei MPLS a entității contractante folosind şi alte protocoale de comunicaţii pentru a permite şi altor operatori de comunicaţii să ofere aceste servicii, păstrând cel puţin nivelul de securitate şi disponibilitate solicitat; - implementarea unor măsuri de securitate adecvate pentru interconectarea cu restul reţelei MPLS a entității contractante. Protocolul MPLS este un protocol care nu are o componentă de criptare (aşa cum în mod eronat prezintă situaţia entitatea contractantă); - soluțiile de interconectare existente pe piaţă (de exemplu IPSEC sau SSL pentru conexiuni criptate, sau VLAN 802.1Q dacă entitatea contractantă doreşte să păstreze conexiunile necriptate) nu impactează în nici un fel parametrii funcţionalitate, redundanţă şi securitate ceruţi. Singurul efect ar fi posibilitatea și a altor furnizori de servicii tip datacenter de a participa la această procedura. Contestatorul susține că deşi a solicitat clarificarea şi eliminarea acestei cerinţe restrictive în cadrul procedurii de clarificări, entitatea contractantă a răspuns trunchiat şi a omis să răspundă privitor la încălcarea dispoziţiilor art. 165 alin. (6) din Legea nr. 99/2016. Răspunsul conferit de entitatea contractantă nu justifică menţinerea acestui obstacol nejustificat din cadrul specificaţiilor tehnice faţă de asigurarea unei concurenţe efective între operatorii economici. În ceea ce priveşte agumentele expuse la punctul B, contestatorul înţelege că se doreşte asigurarea unei stabilităţi şi continuităţi a serviciilor, însă aceste obiective pot fi atinse şi fără a impune condiţii legate de deţinerea în proprietate a clădirilor şi terenurilor pe care se află centrele de date în cauză. Mai mult, contestatorul susține că nici unul din standardele şi certificările menţionate de entitatea contractantă (ISO27001, SOC2 sau Uptime Institute Tier III și IV) nu consideră esenţială deţinerea în proprietate a clădirilor şi nici măcar nu prevede oferirea vreunui punctaj suplimentar la evaluări. Disponibilitatea serviciilor în proporţie de 99,982% este singurul criteriu real ce conferă stabilitate pe întreaga durată contractuală. Nivelul de disponibilitate este într-adevăr evaluat şi măsurat în cadrul standardelor menţionate, și este considerat şi de (...) un element justificat. De asemenea, contestatorul menționează că în conformitate cu art. 2 din Legea nr. 99/2016, entitatea contractantă este obligată să trateze operatorii economici în mod egal şi fără discriminare, acţionând într-o manieră transparentă şi proporţională. Conform practicii europene în materie, conceptul achiziţiei nu se poate face cu intenţia de excludere a acesteia din domeniul de aplicare al prezentei directive sau restrângerea artificială a concurenţei. Astfel, contestatorul consideră că se restrânge artificial concurenţa în cazul în care conceptul achiziţiei este făcut cu intenţia favorizării sau dezavantajării nejustificate a anumitor operatori economici. Pagina 17 din 34

Prin răspunsul conferit la clarificările emis de (...), privitor la întrebarea 18, contestatorul susține că entitatea contractantă nu a justificat în mod real necesitatea menţinerii acestui criteriu din caietul de sarcini. Prin compararea răspunsului nr. 101.1/1848/2024 şi a răspunsului pe fond al entității contractante, contestatorul susține că se poate observa faptul că abia prin răspunsul pe fond depus de entitatea contractantă sunt detaliate motivele pentru care aceasta a înţeles să respingă solicitările sale privind clarificările anumitor aspecte din procedură sau să justifice anumite cerinţe tehnice din caietul de sarcini. Or, entitatea contractantă este obligată să răspundă în mod complet la întrebările de clarificare, fără a trunchia conţinutul întrebărilor depuse de ofertanţi şi a răspunde în mod formal şi subiectiv la întrebări. Cu privire la celelalte argumente expuse la acest punct de către C.N. (...) S.A., contestatorul menţionează: 1. Controlul total asupra infrastructurii şi operaţiunilor - poate fi păstrat prin clauze contractuale specifice încheiate cu proprietarul clădiri. În măsura în care aceste clauze sunt negociate şi inserate în contract, proprietarul este obligat să le respecte pentru a asigura în folosul chiriaşului folosinţa utilă şi liniştită a spaţiului închiriat - ceea ce constituie o obligaţie legală în sarcina proprietarului unui imobil. Cât priveşte argumentele legate de ajustarea spaţiului în raport de dezvoltarea şi extinderea infrastructurii viitoare a clientului, fără restricţii din partea unui proprietar terţ, contestatorul menţionează, pe de o parte, că o asemenea ipoteză este pur teoretică la acest moment - nu este menţionat nimic în acest sens în documentaţia de atribuire sau, cel târziu, în răspunsurile la solicitările de clarificări. O entitate contractantă diligentă ar fi avut în vedere o eventuală rezervă de capacitate pentru aceste situaţii sau ar fi menţionat acest scenariu în documentaţia de atribuire - cum a făcut de exemplu pentru capacitatea de hosting solicitată (se cere să se poată asigura oricând un excedent de 10% faţă de resursele solicitate) - ceea ce nu este cazul. 2. Securitate fizică şi protecţie mai bună a datelor - În ceea ce priveşte controlul accesului, proprietatea asupra clădirii nu are nicio relevanţă în ceea ce priveşte sistemele de securitate fizică implementate de operatorul centrului de date. De altfel, entitatea contractantă putea să prevădă cerinţe specifice legate de securitatea fizică, a căror îndeplinire să fie dovedită de către ofertanţi. Contestatorul menţionează că deţine sisteme de monitorizare şi alarmare, pază umană la centrul de date, contract de intervenţie cu o societate de pază şi protecţie, sisteme avansate de control acces în incinta centrului de date şi o procedură riguroasă de acces. De asemenea, contestatorul precizează că bifarea tuturor acestor cerinţe nu are nicio legătură cu proprietatea asupra clădirii, ci cu profesionalismul şi diligenţa furnizorului de servicii de tip data center. Nu proprietatea asupra clădiri care găzduieşte centrul de date conduce la îndeplinirea acestor cerinţe de securitate fizică, după cum deţinerea acestei clădiri în proprietate nu le exclude. Pagina 18 din 34

3. Contestatorul menționează că, continuitatea afacerii şi reducerea riscului operaţional - ipoteza că „proprietatea asigură stabilitate pe termen lung", este pur teoretică. Nimic nu ar împiedică proprietarul spaţiilor să înstrăineze sau să subînchirieze acest imobil, chiar să încheie contracte de management extern. Şi acestea constituie riscuri semificative pe care proprietatea asupra spaţiului nu le acoperă. Cu titlu de exemplu, contestatorul menţionează că se putea prevedea necesitatea de a depune dovezi privind înlăturarea sau diminuarea riscului legat de evacuarea din spaţiile pe care centrele de date le operează sau de a depune planul de continuitate a afacerii. 4. Conformitatea cu reglementările şi cerinţele legale – Contestatorul susține că deși entitatea contractantă nu a înţeles să menţioneze niciunde în documentaţia de atribuire cerinţe specifice privind protecţia datelor sau cerinţe specifice de conformitate pentru ofertanţi, face acum referire la ISO 27001, SOC2 sau Uptime Institute TierIII sau IV. De asemenea, contestatorul precizează că niciunul din standardele menţionate anterior nu specifică sau punctează suplimentar deţinerea în proprietate a spaţiului în care operează un centru de date. Prin urmare acest argument îl consideră irelevant. (...) face menţiunea că deţine certificare ISO 27001, prin urmare, consideră că îndeplinește măsurile stricte de securitate şi control al accesului dorite de entitatea contractantă, chiar fără a deţine în proprietate clădirea centrului de date. 5. Contestatorul susține că, confidenţialitatea şi protecţia datelor procesate pe seama entității contractante poate fi asigurată indiferent de cine deţine proprietatea clădirii în care se află centrul de date sau terenul pe care ea se situează. Argumentul este invocat în mod artificial, strict pentru a induce o aparenţă de legitimitate pentru o prevedere care restricţionează în mod nejustificat concurenţa în cadrul procedurii. Se puteau accepta oricând certificări care să ateste implementarea unor mecanisme de control eficiente pentru asigurarea confidenţialităţii şi protecţiei datelor, cum este ISO 27001 de exemplu. În ceea ce priveşte argumentele expuse la punctul C legate de necesitatea de certificarea Uptime Tier III by Design, contestatorul precizează că se vede nevoit să contrazică din nou susţinerile din punctul de vedere formulat de C.N. (...) S.A. Această certificare nu atestă sub nicio formă downtime-ul de maximum 1,6 ore pe an, redundanţa, rezilienţa şi respectarea cerinţelor privind disponibilitatea 99,982%. Conform informaţiilor disponibile pe site-ul Uptime Institute, contestatorul subliniază că există 3 niveluri de certificare pe care le poate acorda această organizaţie, și anume: - Tier Certification of Design Documents (TCDD) - urmăreşte să certifice faptul că design-ul centrului de date este conform standardului Tier III; - Tier Certification of Constructed Facility (TCCF) - certifică faptul că un centru de date a fost construit cu respectarea design-ului Tier III şi că este capabil să satisfacă cerinţele de performanţă definite; Pagina 19 din 34

- Tier Certification of Operațional Sustainability (TCOS) - certifică faptul că centrul de date, proiectat şi construit conform cerinţelor Tier lII este operat într-un mod care conduce la îndeplinirea nivelurilor de performanţă avute în vedere. Se pune accentul pe conduita personalului şi riscul asociat exploatării centrului de date pentru a demonstra abilitatea entităţii care exploatează centrul de date de a planifica şi conduce activitatea fără întreruperi. Raportat la aceste trei niveluri de certificare, (...) susține că, cerinţa entității contractante de a deţine o certificare Tier III by Design în vederea dovedirii disponibilităţii solicitate nu este relevantă. De asemenea, acesta precizează că o certificare care atestă un anumit design al centrului de date nu semnifică nici faptul că acel centru de date a respectat proiectul respectiv şi nici faptul că din punct de vedere operaţional poate satisface cerinţa de disponibilitate de 99,982%. Singura certificare care putea oferi această certitudine este TCOS, or aceasta nu este deţinută de niciun centru de date din România. În ceea ce priveşte celelalte argumente invocate de către C.N. (...) pentru a susţine necesitatea certificării Tier III by Design, contestatorul precizează următoarele: 1. Disponibilitate ridicată şi continuitate operaţională. Contestatorul subliniază încă o dată faptul că o certificare care atestă proiectarea centrului de date în raport cu anumite criterii, nu poate certifica per se o anumită disponibilitate a centrului de date respectiv. Aşa cum se menţionează pe pagina Uptime Institute la informaţiile legate de acest tip de certificare, pentru acordarea unei certificări By Design este relevant doar proiectul pentru centrul de date respectiv. Design-ul centrului de date poate releva, cel mult, capacitatea de principiu a centrului de date de a evita întreruperile neplanificate. Pentru a vorbi însă de o certitudine în ceea ce priveşte rezilienţa centrului de date la întreruperi, este necesar ca acesta să fie şi executat în conformitate cu planul respectiv - ceea ce se dovedeşte prin certificarea Tier III Constructed Facility, care presupune inclusiv testarea sistemelor cu care este dotat centrul de date şi să fie operat într-o manieră capabilă să asigure un downtime conform cu aşteptările legate de durata maximă a întreruperilor - ceea ce se dovedeşte prin certificarea Tier Certification Operațional Sustainability. 2. Redundanţă N+1 pentru componențele esenţiale. Pentru a avea sau a dovedi o redundanţă N+1 la componentele esenţiale din centrul de date, contestatorul susține că nu este nevoie de o certificare Uptime Institute Tier III by Design. De altfel, la fel ca şi în cazul celorlalte menţiuni făcute în cuprinsul punctului de vedere depus de C.N. (...) S.A., (...) precizează că, cerinţa existenţei unei redundanţe N+1 pentru componente putea să fie prevăzută ca şi argument în răspunsul la solicitarea de clarificări adresată ITP SRL şi, eventual inserată, prin același răspuns, ca şi cerinţă alternativă în documentaţia de atribuire. Pagina 20 din 34

Contestatorul precizează că (...) s-a mulţumit să îi răspundă că păstrează neschimbate prevederile caietului de sarcini şi ale fişei de date, tocmai pentru a evita posibilitatea de participare a oricărui alt operator economic interesat şi care ar putea îndeplini cerinţele tehnice aferente certificării solicitate, fără a deţine certificarea propriu-zisă. 3. Fiabilitate şi rezilienţă îmbunătăţite. (...) menționează că, comutarea automată pe echipamentele de rezervă la care face referire entitatea contractantă este asigurată de redunanţa de tip N+1 pentru echipamente, la care acesta s-a referit supra. Ca şi în cazul celorlalte avantaje detaliate de către C.N. (...) pentru a justifica cerinţa privind existenţa certificării Tier III by Design, contestatorul susține că modificarea caietului de sarcini prin răspunsul la solicitarea de clarificări putea lesne să se refere la necesitatea ofertanţilor să facă dovada că deţin sisteme de protecţie pentru fluctuaţiile de energie sau generatoare care să susţină întreaga sarcină a centrului de date pentru o perioadă de „n” ore. Acesta menționează că există multiple centre de date în România care respectă toate aceste cerinţe tehnice, fără a deţine certificarea emisă de Uptime Institute, ceea ce le descalifică în mod automat din procedura iniţiată de către entitatea contractantă. 4. Respectarea celor mai înalte standarde de proiectare şi operare. Contestatorul precizează că Standardul Tier III este de fapt corespondentul comercial al nivelului de rating 3 al standardului ANSI/TIA 942. Standardul menţionat este unul deschis, public, pe care orice operator de datacenter poate decide să-l respecte. Validarea respectării acestui standard sub forma unei certificări emise de o anumită societate comercială este inclusă cu scopul de a restrânge numărul de participanţi eligibili la o singură companie. Pentru a „NU” restrânge artificial concurenţa, (...) consideră că entitatea contractantă trebuia să specifice care din criteriile de încadrare în Rating 3 (sau Tier III) trebuiau să fie îndeplinite de operatorii economici. 5. Conformitatea cu reglementările. (...) susține că nu contestă utilitatea unei certificări care atestă că un centru de date a fost proiectat pentru a satisface nişte cerinţe stringente privind uptime-ul. Certificarea emisă Uptime Institute nu este însă o certificare uzuală, care să fie solicitată în mod obişnuit de către autorităţile publice române în cadrul procedurilor de achiziţie sau de către companii private interesate să contracteze servicii de găzduire în cloud sau de colocare. (...) precizează că deşi a participat la mai multe proceduri de achiziţie publică având ca obiect servicii de găzduire pe infrastructură cloud, nici o autoritate contractantă nu a solicitat prezentarea unei asemenea certificări fără a menţiona că acceptă o altă dovadă echivalentă a îndeplinii standardului. De asemenea, (...) susține că nici măcar în procedura pentru atribuirea contractului care are ca obiect găzduirea Registrului Electronic Naţional de Vaccinări, contract pe care acesta l-a câştigat încă de la nivelul anului 2019 Pagina 21 din 34

şi care a continuat pe întreaga perioadă a pandemiei de COVID -19, nu s-a prevăzut ca şi criteriu de calificare deţinerea unei asemenea certificări. Or, în cadrul documentaţiei de atribuire aferentă acelui contract, s-a prevăzut că se va asigura o disponibilitate 365/24/7 a serviciilor, aşadar superioară celei solicitate în prezenta procedură. De altfel, contestatorul înțelege să atragă atenţia CNSC şi asupra faptului că în măsura în care C.N. (...) ar fi inclus, ca răspuns la solicitarea sa de clarificări, toate cerinţele tehnice şi funcţionale la care a făcut referire în punctul său de vedere în cadrul documentaţiei de atribuire, se înlăturau automat toate problemele legate de modul discriminatoriu şi netransparent în care a înţeles să procedeze în privinţa prezentei proceduri de achiziţie. Acesta consideră că o asemena soluţie ar fi dat eficienţă prevederilor art. 166 alin. (1) din Legea nr. 99/2016. Întrucât în România există un singur tip de autorizaţie care poate fi emisă în ceea ce priveşte centrele de date, respectiv autorizaţia emisă de Autoritatea pentru Digitalizarea României în temeiul prevederilor Ordinului nr. 489/2005 privind Normele metodologice de autorizare a centrelor de date, emis de către Ministerul Comunicaţiilor şi Societăţii Informaţionale, autorizare care se emite în urma unui audit riguros desfăşurat de către un auditor autorizat, (...) consideră că este absolut normal să solicite înlocuirea unei certificări care nu are echivalent naţional sau european, cu o autorizare emisă de o autoritate naţională. Contrar susţinerilor C.N. (...) S.A., contestatorul subliniază că această autorizaţie nu este o simplă autorizaţie de funcţionare, pentru că pentru simpla exploatarea unui centru de date nu este nevoie de o asemenea autorizaţie conform legislaţiei în vigoare în România. Autorizaţia pe care o deţine este o autorizaţie specifică, emisă în considerarea unor dotări tehnice şi a unor măsuri organizatorice speciale pe care centrul de date interesat să o obţină trebuie să le deţină, toate aceste cerinţe având menirea de a asigura fiabilitatea şi disponibilitatea centrului de date. De altfel, contestatorul susține că în auditul depus în probaţiune la dosarul aflat în faţa CNSC, pot fi observate toate testele efectuate de către auditor. În ceea ce priveşte argumentele expuse de către entitatea contractantă în legătură cu punctul D din contestaţie, contestatorul precizează că se face referire expresă la avantajele unei distanţe de minim 100 km pentru continuitatea afacerii şi pentru recuperare în caz de dezastru. (...) susține că niciunde în cuprinsul documentaţiei de atribuire sau în răspunsul furnizat la întrebările sale de clarificare nu s-a menţionat intenţia entității contractante ca al doilea sau al treilea centru de date să fie un centru de date de „disaster recovery”, din care să fie repornită activitatea entității contractante în caz de indisponibilitate a centrului de date primar. De altfel, contestatorul precizează că în documentaţia de atribuire se face referire doar la existenţa unei capacităţi de backup de 300 TB, deci strict a unei capacităţi de stocare. Or, pentru ca al doilea centru de date să poată îndeplini rolul de „disaster recovery”, capacităţii de stocare trebuie să i Pagina 22 din 34

se adauge şi „capacitate de compute”. Simpla depozitare a unor copii de siguranţă într-un alt centru de date nu permite repornirea imediată a activităţii beneficiarului în baza copiilor de siguranţă, acestea trebuind să treacă printr-un proces de conversie şi să devină maşini virtuale. Din acest punct de vedere, contestatorul susține că se vede din nou nevoit să atragă atenţia asupra lipsei de transparenţă a entității contractante cu privire la prevederile documentaţiei de atribuire şi la răspunsurile formulate în urma solicitărilor de clarificare. Totodată, contestatorul menționează că este inadmisibil şi în totală disonanţă cu prevederile care reglementează procedurile de achiziţie publică să vii să invoci că urmăreşti să obţii nişte avantaje legate de business continuity abia în cadrul unui punct de vedere prezentat în faţa Consiliului, în urma unei contestaţii pe care alt ofertant înţelege să o formuleze în cadrul procedurii, fără a menţiona nimic specific şi concret în acest sens în cuprinsul documentaţiei de atribuire. Mai mult decât atât, C.N. (...) menţionează inclusiv faptul că distanţa dintre centrul de date principal şi cel de backup îi permite testarea şi validarea planurilor de disaster recovery, deşi această cerinţă nu s-a menţionat niciunde în cadrul documentaţiei de atribuire sau în răspunsul la solicitarea de clarificări. (...) precizează că în situaţia în care entitatea contractantă a urmărit în mod real obţinerea unui avantaj în procesul de recuperare rapidă a datelor prin aplicarea acestui criteriu de atribuire, chiar dacă se solicită stocarea copiilor de siguranţă într-un centru de date secundar, distanţa acestuia faţă de centrul de date primar ar trebui să fie cât mai mică. Cu cât datele trebuie recuperate de la o locaţie care este, din punct de vedere, geografic mai îndepărtată, cu atât timpul de recuperare al acestora creşte. Pe de altă parte, dacă dezideratul este în mod real recuperarea cât mai rapidă a datelor, contestatorul consideră că nu se poate explica de ce nu s-a prevăzut în documentaţia de atribuire cerinţa de implementare a unui backup local al datelor direct pe infrastructura entității contractante. Privitor la argumentele aduse de C.N. (...) S.A. pentru a justifica respingerea solicitării de înlăturare din documentaţia de atribuire a cerinţei privind deţinerea de către expertul Arhitect cloud, a unei certificări valide în automatizarea scriptată de infrastructuri cloud IaaS prin metodologia IaC - Infrastructure as Code, contestatorul atrage atenţia asupra faptului că toate responsabilităţile enumerate de către entitatea contractantă pentru a justifica, retroactiv - în raport cu data răspunsului la întrebările de clarificare - menţinerea acestei cerinţe, trebuiau să se regăsească în cuprisul caietului de sarcini. Abia în punctul de vedere transmis de entitatea contractantă apar nişte referinţe vagi şi exemplificative la nişte elemente pe care specialistul cu certificarea de IaC le-ar putea utiliza (Terraform, Ansible, CloudFormation). Însă nici unde pe parcursul caietului de sarcini şi nici în răspunsul la întrebările de clarificare nu a fost menţionat nici un fel de operaţiune care să necesite competențele date de această certificare. Pagina 23 din 34

Toate celelalte instrumente menționate în „Punctul de Vedere" (KMS - Key Management Services, Identity and Access Management IAM), contestatorul susține că sunt acoperite de o altă certificare solicitată Expertului Cloud, pe care o consideră eligibilă în cadrul proiectului, și anume „certificare de nivel expert sau profesional oferită de un furnizor major de servicii cloud - Google, Microsoft, Amazon, Oracle, VMware". De asemenea, contestatorul consideră că documentaţia prezentată şi în răspunsul la cererile de clarificare transmise de entitatea contractantă contravine art. 22 alin. (2) şi alin.(10) din H.G. nr. 394/2016 pentru aprobarea Normelor metodologice de aplicare a prevederilor referitoare la atribuirea contractului cadrul/acordului-cadru din Legea nr. 99/2016, redate. În ceea ce privește excepţia de tardivitate a formulării contestaţiei, contestatorul precizează faptul că nu a formulat întrebările de clarificare depuse în cadrul procedurii cu scopul de contesta prevederile documentaţiei de atribuire. Observând cerinţele înscrise de către C.N. (...) în cadrul procedurii, în special cerinţa privind deţinerea cerificării Tier III by Design emisă de Uptime Institute şi cea privind necesitatea de a fi proprietarul unei reţele MPLS, contestatorul susține că a urmărit, în principal, să obţină şansa de a depune o ofertă în cadrul acestei proceduri. În lipsa acestor cerinţe, chiar dacă alte criterii de evaluare îi dezavantajau, avea măcar posibilitatea să participe la această procedură. În spiritul deplinei transparenţe, contestatorul menţionează că nu și-a imaginat că formulând nişte solicitări clare şi argumentate extensiv prin raportare la obiectivele achiziţiei definite în documentaţia de atribuire, punând în special accent pe restrângerea nejustificată a competiţiei în cadrul procedurii, nu va avea parte de deschidere din partea entității contractante, în sensul de a modifica prevederile documentaţiei de atribuire şi de a asigura o concurenţă reală între operatorii economici care prestează servicii de tip datacenter - fie ele de găzduire sau de colocare. (...) susține că a considerat că entitatea contractantă a inclus cerinţele restrictive fără să cuantifice exact impactul acestora şi a considerat corect şi etic să-i dea posibilitatea de a le corecta sau, cel puţin, de a le explica suplimentar. Dorinţa sa nu a fost să împiedice procedura de achiziţie cu orice preţ. Acesta este motivul pentru care a transmis solicitările de clarificare, împreuna cu justificările pertinente şi dovedite ale acestor solicitări. De asemenea, contestatorul menționează că atitudinea entității contractante după formularea solicitărilor de clarificare nu numai că denotă că şi-a dorit în mod specific să răstrângă concurenţa la un singur ofertant, dar nici măcar nu „s-a obosit” să prezinte, în răspunsurile date întrebărilor sale, argumentele pe care a înţeles să le prezinte în punctul de vedere depus în faţa CNSC - argumente oricum foarte discutabile pentru toate considerentele expuse anterior. Mai mult decât atât, contestatorul consideră că aceste omisiuni în a răspunde solicitărilor de o manieră clară şi precisă, nu pot fi acoperite invocând tot o conduită a entității contractante - şi care constă în nemodificarea cerinţelor din documentaţia de atribuire - pentru a invoca, în Pagina 24 din 34

mod artificial, o excepţie de tardivitate faţă de o presupusă contestaţie a prevederilor caietului de sarcini. Prin raportare la prevederile art. 8 alin. (1) lit. a) din Legea nr. 101/2021, contestatorul susține că actul entității contractante atacat este răspunsul consolidat la solicitările de clarificări pentru procedura de achiziţie „(...)", (...), nr. 101.1/1848/24.10.2024, contestaţia fiind introdusă în termenul legal. Atât din punct de vedere obiectiv - raportat la documentaţia de atribuire şi, subsecvent, la răspunsurile la solicitarea de clarificări - cât şi subiectiv - prin raportare la atitudinea în ceea ce priveşte răspunsurile date din contestaţie – contestatorul precizează că entitatea contractantă acționează cu nesocotirea flagrantă a regulilor din procedurile de atribuire a contractelor de achiziţie sectoriale, chestiune care nu poate fi paralizată prin invocarea excepţiei de tardivitate. Totodată, contestatorul precizează că nu este vorba de o simplă nemulţumire a sa în ceea ce piveşte prevederile din documentaţia de atribuire, ci este vorba de vicierea completă a procedurii prin înlăturarea completă a concurenţei, cu implicații inclusiv în ceea ce priveşte potenţiala păgubire a bugetului de stat. Pentru toate motivele indicate, (...) solicită înlăturarea apărărilor formulate de către C.N. (...) S.A. și admiterea contestației formulate. Din documentele depuse de părți și din susținerile acestora, Consiliul constată următoarele: Entitatea contractantă (...) a inițiat procedura de atribuire prin „licitație deschisă” având ca obiect „(...)”, cod CPV (...), prin publicarea în SEAP a anunțului de participare nr. (...)/23.09.2024, stabilind data limită de depunere a ofertelor la 05.11.2024 ora 15:00, criteriul de atribuire fiind „cel mai bun raport calitate-preț” și valoarea estimată de 4.950.000,00 lei, fără TVA. Analizând contestația care formează obiectul prezentului dosar, formulată de (...), Consiliul constată că autoarea acesteia a solicitat suspendarea procedurii de atribuire conform dispozițiilor art. 22 din Legea nr. 101/2016, iar entitatea contractantă a achiesat acestei solicitări, suspendând procedura de atribuire la data de 05.11.2024, ora 11.53, motiv pentru care prin Încheierea nr. (...)din data de ...., Consiliul a respins ca rămasă fără obiect, cererea de suspendare a procedurii de atribuire, formulată de (...). De asemenea, Consiliul constată că actul atacat indicat în mod expres de către contestatoare îl constituie Răspunsul consolidat la solicitările de clarificări, vizând prezenta procedură de atribuire, înregistrat la entitatea contractantă - (...), sub nr.101.1/1848/24.10.2024, publicat în SEAP la data de 24.10.2024, solicitările adresate Consiliului fiind următoarele: - Anularea răspunsului consolidat la solicitările de clarificări pentru procedura de achiziţie „(...)", procedura CNPR nr. RO 427410-2024-183.01, anunţ de participare (...), înregistrat sub nr. 101.1/1848/24.10.2024, publicată în Sistemul Electronic de Achiziţii Publice la data de 24.10.2024, Pagina 25 din 34

răspuns pe care îl consideră netemeinic şi nelegal în privinţa solicitărilor adresate de către (...), prin raportare la prevederile Legii nr. 99/2016; - În principal, obligarea (...)(...) S.A. la eliminarea şi, după caz, înlocuirea cerinţelor din documentaţia de atribuire (fişă de date şi caiet de sarcini) - cerinţe care instituie obstacole nejustificate în accesul operatorilor economici la procedură şi sunt de natură să restrângă concurenţa - şi obligarea entității contractante la reluarea etapei de depunere a ofertelor în cadrul procedurii, cu respectarea termenului de 10 zile menţionat în cuprinsul prevederilor art. 173 alin. (1) din Legea nr. 99/2016 privind achiziţiile sectoriale. - În subsidiar, în măsura în care Consiliul va aprecia că măsurile de remediere solicitate nu permit continuarea legală a procedurii, se solicită anularea acesteia. Autoarea contestației a prezentat Consiliului dovada respectării dispozițiilor art. 611 alin. (1) lit. b) din Legea nr. 101/2016, cu modificările și completările ulterioare, respectiv recipisa de consemnare a cauțiunii nr. (...)din data de 07.11.2024, în sumă de 99.000 lei eliberată de CEC Bank – (...) Recipisa de consemnare se va restitui în condițiile stipulate de art. 1064 din Codul de procedură civilă, coroborate cu dispozițiile art. 611 alin. (5), (6) și (7) din Legea nr. 101/2016, cu modificările și completările ulterioare. În temeiul art. 26 alin. (1) din Legea nr. 101/2016, Consiliul va analiza cu prioritate excepția invocată de entitatea contractantă privind tardivitatea contestației, pe care o va respinge întrucât actul atacat din punct de vedere formal indicat de către contestatoare îl constituie Răspunsul consolidat la solicitările de clarificări, vizând prezenta procedură de atribuire, înregistrat sub nr.101.1/1848/24.10.2024, emis de entitatea contractantă (...) și publicat în SEAP la data de 24.10.2024 Raportat la actul atacat precizat în mod expres de către contestatoare, conform dispozițiilor art. 10 lit. d) din Legea nr. 101/2016, respectiv răspunsul la clarificări mai sus menționat, în cauză a fost respectat termenul stipulat de art. (8) alin. (1) lit. a) din legea anterior menționată, contestația fiind formulată în cadrul termenului legal. Pe fondul cauzei, Consiliul constată următoarele: Contestatoarea critică modul în care entitatea contractantă a răspuns, la data de 24.10.2024, prin actul atacat (Răspunsul consolidat nr. 101.1/1848/24.10.2024), întrebărilor nr. 17 – 21 și solicită obligarea achizitoarei la eliminarea sau, după caz, înlocuirea cerințelor contestate de aceasta, după cum urmează: A. Eliminarea cerinţei înscrise la pagina 3, alin. 3 din caietul de sarcini, în cadrul capitolului 3. Descrierea Serviciului: „Centrele de date trebuie să fie integrate cu reţele IP MPLS beneficiind de conectivităţi redundante, pe rute multiple de fibră optică, NX10gb și NX100gb oferind o disponibilitate de 99,98% conform standard TIA942” și la pagina 17 din Caietul de sarcini, punctul 12 - Criteriul de atribuire, criteriul P2 Caracterisici tehnice: Interoperabilitatea centrului de date cu reţeua de comunicaţii, reluată şi în Pagina 26 din 34

fişa de date la pagina 3, în cadrul punctului II.2.5 Criterii de atribuire: „Ofertantul al cărui centru/centre de date proprietar este diferit de furnizorul reţelei de comunicaţii IP MPLS se acordă 0 puncte. Pentru ofertantul care deţine atât centrul/centrele de date cât și reţeaua integrate de comunicaţii IP MPLS se acordă punctajul maxim, respectiv 10 puncte”. B. Eliminarea cerinţei înscrise la pagina 3, alin. (4) din caietul de sarcini, în cadrul capitolului 3. Descrierea Serviciului: „Ofertantul trebuie să deţină în proprietate toate activele centrelor de date (clădiri, terenuri, etc)”. C. Înlocuirea cerinţei înscrise la punctul al treilea din cadrul capitolului 6. Cerinţe referitoare la ofertant - pagina 6 din caietul de sarcini: „Ofertantul trebuie să deţină un centru de date cu o certificare de minim Uptime Tier III by Design care să ateste un downtime pe an de maxim 1,6 ore și nu în ultimul rând, redundanţa, rezilienţa și respectarea cerinţelor privind disponibilitatea de 99,982% având posibilitatea de a asigura o furnizare aproape neîntreruptă. Această cerință este obligatorie ținând cont de specificul de activitate al beneficiarului”, cu cerinţa deţinerii autorizaţiei pentru centre de date emisă de către Ministerul Comunicaţiilor şi Societăţii Informaţionale, prin Autoritatea pentru Digitalizarea României în temeiul Ordinului 489/2009 privin Normele metodologice de autorizare a centrelor de date. D. Înlocuirea cerinţei înscrise la paginile 17-18 din caietul de sarcini, în cadrul capitolului 12 - Criteriul de atribuire, sub P2 Caracteristici tehnice: Capacitate de stocare în cloud şi back-up şi reluată şi la nivelul fişei de date, la paginile 2-3, în cadrul punctului II.2.5 Criterii de atribuire „Prin acest criteriu - Capacitate de stocare în cloud și backup Beneficiarul doreşte să obţină un avantaj în procesul de recuperare rapidă a datelor, asigurându-se astfel continuitatea. Punctajul maxim care se poate obţine pentru acest criteriu este de 20 de puncte. Pentru ofertantul ce deţine capacitatea de stocare în cloud şi backup solicitată în cadrul unui singur centru de date se acordă 0 puncte. Pentru ofertantul ce deţine capacitatea de stocare în cloud şi backup în cadrul a două centre de date redundante geografic şi seismic, cu distanţă de minim 100 km între ele se acordă 10 puncte. Pentru ofertantul ce deţine capacitatea de stocare în cloud şi backup în cadrul a trei centre de date redundante geografic şi seismic, cu distanţă de minim 100 km între ele se acordă punctajul maxim, respectiv 20 puncte”, cu cerinţa: „Prin acest criteriu - Capacitate de stocare în cloud şi backup Beneficiarul doreşte să se alinieze bunelor practici statornicite în materie de backup, respectiv dezideratului ca una din copiile de siguranţă a datelor să fie stocată în altă locaţie faţă de echipamentele/sistemele sursă ale datelor. Punctajul maxim care se poate obţine pentru acest criteriu este de 20 de puncte. Pentru ofertantul ce deţine capacitatea de stocare în cloud şi backup solicitată în cadrul unui singur centru de date se acordă 0 puncte. Pagina 27 din 34

Pentru ofertantul ce deţine capacitatea de stocare în cloud şi backup în cadrul a două centre de date diferite, se acordă 20 puncte”. E. Eliminarea cerinţei înscrise la pagina 9 din caietul de sarcini, la punctul 2. Arhitect Cloud, capitolul Cerinţe minime obligatorii legate de experţi, referitoare la deţinerea de către persoana nominalizată pentru această funcţie a unei certificări valide în automatizarea scriptată de infrastructuri cloud IaaS prin metodologia IaC - Infrastructure as Code. În subsidiar, contestatoarea solicită anularea procedurii de atribuire în măsura în care Consiliul va aprecia că măsurile de remediere solicitate nu permit continuarea legală a acesteia. Analizând actul atacat, respectiv Răspunsul consolidat la solicitările de clarificări, vizând prezenta procedură de atribuire, înregistrat la (...) sub nr.101.1/1848/24.10.2024, Consiliul reține întrebările nr. 17 – 21 și răspunsurile aferente: „Întrebare 17: Cu privire la cerința înscrisă la punctul 3 – Descrierea serviciului, pagina 3 alin. (4) din Caietul de sarcini: «Centrele de date trebuie să fie integrate cu reţele IP MPLS beneficiind de conectivităţi redundante, pe rute multiple de fibră optică, NX10gb și NX100gb oferind o disponibilitate de 99,98% conform standard TIA942” și la punctul 12 - Criteriul de atribuire, criteriul P2 Caracterisici tehnice: Interoperabilitatea centrului de date cu reţeua de comunicaţii, cerințele: «Ofertantul al cărui centru/centre de date proprietar este diferit de furnizorul reţelei de comunicaţii IP MPLS se acordă 0 puncte. Pentru ofertantul care deţine atât centrul/centrele de date cât și reţeaua integrate de comunicaţii IP MPLS se acordă punctajul maxim, respectiv 10 puncte». Solicităm eliminarea acestor prevederi din documentaţia de atribuire întrucât încalcă în mod flagrant prevederile art. 165 alin (2) din Legea 99/2016 privind achiziţiile sectoriale. Răspuns 17: Tehnologia IP MPLS este utilizată actualmente în toata infrastructura (...)(...) S.A. pentru un număr de peste 1800 de locaţii şi prin urmare o schimbare totală a tehnologiei ar impacta şi furnizarea serviciului de VPN contract semnat cu un operator economic a cărui furnizare este actualmente în derulare pentru înca aproximativ 2 ani. Ca urmare a furnizării serviciului VPN MPLS de către furnizor a fost agreat un plan de adresare IP astfel încât toate echipamentele instalate în infrastructura beneficiarului trebuie să se interconecteze cu echipamentele beneficiarului peste reţeaua MPLS cu rutarea întregului trafic criptat către sediul HQ. Prin urmare autoritatea contractantă păstrează neschimbate prevederile caietului de sarcini. Întrebare 18: Cu privire la cerinţa înscrisă la punctul 3 - Descrierea serviciului, pagina 3, alin. 5 din Caietul de sarcini: «Ofertantul trebuie să deţină în proprietate toate activele centrelor de date (clădiri, terenuri, etc)». Solicităm eliminarea acesteia din cuprinsul documentaţiei de Pagina 28 din 34

atribuire întrucât titlul de proprietate asupra clădirii sau terenului nu este un criteriu care este de natură să impacteze calitatea serviciilor solicitate prin cuprinsul documentaţiei de atribuire, câtă vreme ofertanţii interesaţi se obligă să asigure o disponibilitate a serviciilor în 99,982%. Răspuns 18 Autoritatea contractantă doreşte să beneficieze de stabilitate şi predictibilitate pe întreaga durată contractuală şi prin urmare păstrează neschimbate prevederile caietului de sarcini. Întrebare 19 Cu privire la cerinţa înscrisă la punctul 6 - Cerinţe referitoare la ofertant din caietul de sarcini, respectiv: «Ofertantul trebuie să deţină un centru de date cu o certificare de minim Uptime Tier III by Design care să ateste un downtime pe an de maxim 1,6 ore şl nu în ultimul rând, redundanţa, rezilienţa şi respectarea cerinţelor privind disponibilitatea de 99,982% având posibilitatea de a asigura o furnizare aproape neîntreruptă. Această cerinţă este obligatorie ţinând cont de specificul de activitate al Beneficiarului». Solicităm înlăturarea sau modificarea acesteia din cuprinsul documentaţiei de atribuire şi a tuturor menţiunilor similare tangenţiale acestei cerinţe Răspuns 19 Autoritatea contractantă păstrează neschimbate prevederile caietului de sarcini. Întrebare 20 În ceea ce priveşte cerinţa înscrisă la punctul 12 - Criteriul de atribuire, sub P2 Caracteristici tehnice: Capacitate de stocare în cloud şl back-up: „Prin acest criteriu - Capacitate de stocare în cloud și backup Beneficiarul doreşte să obţină un avantaj în procesul de recuperare rapidă a datelor, asigurându-se astfel continuitatea. Punctajul maxim care se poate obţine pentru acest criteriu este de 20 de puncte. Pentru ofertantul ce deţine capacitatea de stocare în cloud şi backup solicitată în cadrul unui singur centru de date se acordă 0 puncte. Pentru ofertantul ce deţine capacitatea de stocare în cloud şi backup în cadrul a două centre de date redundante geografic şi seismic, cu distanţă de minim 100 km între ele se acordă 10 puncte. Pentru ofertantul ce deţine capacitatea de stocare în cloud şi backup în cadrul a trei centre de date redundante geografic şi seismic, cu distanţă de minim 100 km între ele se acordă punctajul maxim, respectiv 20 puncte”. Solicităm eliminarea acestei cerinţe din cuprinsul documentaţiei de atribuire întrucât şi aceasta reduce în mod nejustificat punctajul ofertanţilor interesaţi la procedura de atribuire a Contractului Servicii de Cloud Privat şl de Colocare iniţiat de Autoritatea Contractantă, C.N. (...). Răspuns 20 Autoritatea contractantă păstrează neschimbate prevederile caietului de sarcini. Pagina 29 din 34

Întrebare 21 În ceea ce priveşte cerinţa înscrisă la punctul 6. Cerinţe referitoare la ofertant, Cerinţe minime obligatorii legate de experţi, pentru Arhitect Cloud se solicită să deţină o certificare validă în automatizarea scriptată de infrastructuri cloud IaaS prin metodologia IaC - Infrastructure as Code. Solicităm eliminarea acestei cerinţe din cuprinsul documentaţiei de atribuire întrucât şi aceasta elimină în mod nejustificat participarea ofertanţilor interesaţi la procedura de atribuire a Contractului Servicii de Cloud Privat şi de Colocare iniţiat de Autoritatea Contractantă, C.N. (...). Răspuns 21 Autoritatea contractantă păstrează neschimbate prevederile caietului de sarcini”. Analizând prevederile documentației de atribuire, Consiliul constată că încă de la publicarea în SEAP a anunțului de participare nr. (...), respectiv data de 23.09.2024, autoarea contestației a luat cunoștință despre conținutul prevederilor documentației de atribuire, în cuprinsul căreia se regăsesc toate cerințele care au făcut obiectul cererilor menționate la pozițiile 17 -21, în cadrul Răspunsului consolidat la solicitările de clarificări, vizând prezenta procedură de atribuire, înregistrat la (...) sub nr.101.1/1848/24.10.2024 și publicat în SEAP la data de 24.10.2024. Din lecturarea actului atacat, al cărui conținut a fost reprodus anterior, Consiliul constată că prin acesta se confirmă cerințele în discuție, neaducându-se modificări cu privire la conţinutul documentației de atribuire, iar dacă autoarea contestației dorea modificarea prevederilor documentației de atribuire, în sensul eliminării/modificării unor cerințe trebuia să manifeste o minimă diligenţă şi să atace în termenul legal prevederile documentației de atribuire, neputând fi reţinut niciun motiv legal pentru depăşirea termenului impus de Legea nr. 101/2016. Altfel, acest termen legal ar ajunge să fie lipsit de orice fel de efect şi, în acest fel, deturnat textul legii, dacă, sub acoperirea unei adrese de solicitare de clarificări, operatorul economic ar putea să conteste ulterior unele prevederi din documentaţie, invocând curgerea termenului de la răspunsul primit. Raportat la valoarea estimată a contractului de achiziție publică în cauză, respectiv 4.950.000 lei, mai mare decât pragul valoric menționat la art. 12 alin. (1) lit. a) din Legea nr. 99/2016, în speță, sunt aplicabile prevederile art. 8 alin. (1) lit. a) din Legea nr. 101/2016. Întrucât documentația de atribuire a fost publicată în SEAP la data de 23.09.2024, contestațiile împotriva prevederilor acesteia puteau fi formulate până la data de 03.10.2024 (inclusiv). În consecinţă, Consiliul constată că răspunsul autorității contractante prin conţinutul său, nu constituie un document de natură să repună contestatoarea în termenul de a contesta prevederile documentației de atribuire. Solicitarea contestatoarei de a modifica răspunsul autorității contractante în funcție de aspectele menționate de aceasta în cuprinsul Pagina 30 din 34

contestației, ar însemna în fapt modificarea documentației de atribuire, respectiv modificarea/eliminarea următoarelor cerințe: A. - „Centrele de date trebuie să fie integrate cu reţele IP MPLS beneficiind de conectivităţi redundante, pe rute multiple de fibră optică, NX10gb și NX100gb oferind o disponibilitate de 99,98% conform standard TIA942”; - „Ofertantul al cărui centru/centre de date proprietar este diferit de furnizorul reţelei de comunicaţii IP MPLS se acordă 0 puncte. Pentru ofertantul care deţine atât centrul/centrele de date cât și reţeaua integrate de comunicaţii IP MPLS se acordă punctajul maxim, respectiv 10 puncte”; B. „Ofertantul trebuie să deţină în proprietate toate activele centrelor de date (clădiri, terenuri, etc)”. C. „Ofertantul trebuie să deţină un centru de date cu o certificare de minim Uptime Tier III by Design care să ateste un downtime pe an de maxim 1,6 ore și nu în ultimul rând, redundanţa, rezilienţa și respectarea cerinţelor privind disponibilitatea de 99,982% având posibilitatea de a asigura o furnizare aproape neîntreruptă. Această cerință este obligatorie ținând cont de specificul de activitate al beneficiarului”; D. „Prin acest criteriu - Capacitate de stocare în cloud și backup Beneficiarul doreşte să obţină un avantaj în procesul de recuperare rapidă a datelor, asigurându-se astfel continuitatea. Punctajul maxim care se poate obţine pentru acest criteriu este de 20 de puncte. Pentru ofertantul ce deţine capacitatea de stocare în cloud şi backup solicitată în cadrul unui singur centru de date se acordă 0 puncte. Pentru ofertantul ce deţine capacitatea de stocare în cloud şi backup în cadrul a două centre de date redundante geografic şi seismic, cu distanţă de minim 100 km între ele se acordă 10 puncte. Pentru ofertantul ce deţine capacitatea de stocare în cloud şi backup în cadrul a trei centre de date redundante geografic şi seismic, cu distanţă de minim 100 km între ele se acordă punctajul maxim, respectiv 20 puncte”; E. „Arhitect cloud (...) expertul propus va deține o certificare validă în automatizarea scriptată de infrastructuri cloud IaaS prin metodologia IaC – Infrastructure as Code, recunoscută la nivel internațional”. Purtarea unei corespondenţe de „clarificare” a documentaţiei de atribuire cu entitatea contractantă nu are ca efect prelungirea perioadei legale de formulare a contestaţiei împotriva prevederilor documentaţiei de atribuire sau decalarea datei de la care începe să curgă aceasta. Dacă s-ar admite interpretarea contrară, în sensul că orice solicitare de clarificări privind documentaţia de atribuire duce la prelungirea termenului de atac al documentaţiei, s-ar ajunge la eludarea termenului de contestare impus de legiuitor. Astfel, Consiliul constată că în actualul stadiu al procedurii de atribuire, criticarea prevederilor documentaţiei de atribuire, apare ca tardivă. În acest context, Consiliul constată că, deşi din punct de vedere formal, autoarea contestaţiei a atacat un răspuns la clarificări, în realitate Pagina 31 din 34

aceasta urmăreşte modificarea documentaţiei de atribuire, respectiv a cerințelor anterior menționate. De asemenea, Consiliul constată că legislaţia în vigoare nu prevede dreptul operatorilor economici de a solicita sau de a propune modificarea documentaţiei de atribuire şi nici obligaţia autorităţii contractante de a modifica documentaţia de atribuire după cum solicită sau propune fiecare operator economic care apreciază că aceasta nu este întocmită în mod corespunzător. Astfel, Consiliul apreciază că entitatea contractantă nu avea nicio obligaţie legală de a modifica documentaţia de atribuire ca urmare a solicitărilor operatorilor economici, motiv pentru care solicitarea contestatoarei de anulare a răspunsului consolidat nr. 101.1/1848/ 24.10.2024

prin

care

entitatea

contractantă

a

refuzat eliminarea/modificarea unor cerințe ale documentației de atribuire, va fi respinsă ca nefondată. Dreptul acordat operatorilor economici conform prevederilor art. 172 alin. (1) din Legea nr. 99/2016 „de a solicita clarificări sau informaţii suplimentare în legătură cu documentaţia de atribuire, cu respectarea termenului-limită stabilit de entitatea contractantă în anunţul de participare/simplificat/de concurs”, nu poate fi înţeles prin obligarea entității contractante de a modifica documentaţia de atribuire în conformitate cu solicitările unora sau altora dintre operatorii economici posibili ofertanţi. În situaţia în care operatorii economici interesaţi apreciază că documentaţia de atribuire încalcă anumite prevederi legale în vigoare, trebuie să depună diligenţe pentru a o contesta, cu respectarea termenului legal aplicabil, stipulat de art. 8 alin. (1) lit. a) din Legea nr. 101/2016. Având în vedere cele mai sus menționate, Consiliul va respinge ca tardive următoarele solicitări ale contestatoarei: A. Eliminarea cerinţei înscrise la pagina 3, alin. 3 din caietul de sarcini, în cadrul capitolului 3. Descrierea Serviciului: „Centrele de date trebuie să fie integrate cu reţele IP MPLS beneficiind de conectivităţi redundante, pe rute multiple de fibră optică, NX10gb și NX100gb oferind o disponibilitate de 99,98% conform standard TIA942” și la pagina 17 din Caietul de sarcini, punctul 12 - Criteriul de atribuire, criteriul P2 Caracterisici tehnice: Interoperabilitatea centrului de date cu reţeua de comunicaţii, reluată şi în fişa de date la pagina 3, în cadrul punctului II.2.5 Criterii de atribuire: „Ofertantul al cărui centru/centre de date proprietar este diferit de furnizorul reţelei de comunicaţii IP MPLS se acordă 0 puncte. Pentru ofertantul care deţine atât centrul/centrele de date cât și reţeaua integrate de comunicaţii IP MPLS se acordă punctajul maxim, respectiv 10 puncte”. B. Eliminarea cerinţei înscrise la pagina 3, alin. (4) din caietul de sarcini, în cadrul capitolului 3. Descrierea Serviciului: „Ofertantul trebuie să deţină în proprietate toate activele centrelor de date (clădiri, terenuri, etc)”. C. Înlocuirea cerinţei înscrise la punctul al treilea din cadrul capitolului 6. Cerinţe referitoare la ofertant - pagina 6 din caietul de sarcini: Pagina 32 din 34

„Ofertantul trebuie să deţină un centru de date cu o certificare de minim Uptime Tier III by Design care să ateste un downtime pe an de maxim 1,6 ore și nu în ultimul rând, redundanţa, rezilienţa și respectarea cerinţelor privind disponibilitatea de 99,982% având posibilitatea de a asigura o furnizare aproape neîntreruptă. Această cerință este obligatorie ținând cont de specificul de activitate al beneficiarului”, cu cerinţa deţinerii autorizaţiei pentru centre de date emisă de către Ministerul Comunicaţiilor şi Societăţii Informaţionale, prin Autoritatea pentru Digitalizarea României în temeiul Ordinului 489/2009 privin Normele metodologice de autorizare a centrelor de date. D. Înlocuirea cerinţei înscrise la paginile 17-18 din caietul de sarcini, în cadrul capitolului 12 - Criteriul de atribuire, sub P2 Caracteristici tehnice: Capacitate de stocare în cloud şi back-up şi reluată şi la nivelul fişei de date, la paginile 2-3, în cadrul punctului II.2.5 Criterii de atribuire „Prin acest criteriu - Capacitate de stocare în cloud și backup Beneficiarul doreşte să obţină un avantaj în procesul de recuperare rapidă a datelor, asigurându-se astfel continuitatea. Punctajul maxim care se poate obţine pentru acest criteriu este de 20 de puncte. Pentru ofertantul ce deţine capacitatea de stocare în cloud şi backup solicitată în cadrul unui singur centru de date se acordă 0 puncte. Pentru ofertantul ce deţine capacitatea de stocare în cloud şi backup în cadrul a două centre de date redundante geografic şi seismic, cu distanţă de minim 100 km între ele se acordă 10 puncte. Pentru ofertantul ce deţine capacitatea de stocare în cloud şi backup în cadrul a trei centre de date redundante geografic şi seismic, cu distanţă de minim 100 km între ele se acordă punctajul maxim, respectiv 20 puncte”, cu cerinţa: „Prin acest criteriu - Capacitate de stocare în cloud şi backup Beneficiarul doreşte să se alinieze bunelor practici statornicite în materie de backup, respectiv dezideratului ca una din copiile de siguranţă a datelor să fie stocată în altă locaţie faţă de echipamentele/sistemele sursă ale datelor. Punctajul maxim care se poate obţine pentru acest criteriu este de 20 de puncte. Pentru ofertantul ce deţine capacitatea de stocare în cloud şi backup solicitată în cadrul unui singur centru de date se acordă 0 puncte. Pentru ofertantul ce deţine capacitatea de stocare în cloud şi backup în cadrul a două centre de date diferite, se acordă 20 puncte”. E. Eliminarea cerinţei înscrise la pagina 9 din caietul de sarcini, la punctul 2. Arhitect Cloud, capitolul Cerinţe minime obligatorii legate de experţi, referitoare la deţinerea de către persoana nominalizată pentru această funcţie a unei certificări valide în automatizarea scriptată de infrastructuri cloud IaaS prin metodologia IaC - Infrastructure as Code. În ceea ce privește solicitarea contestatoarei de anulare a procedurii de atribuire, Consiliul o va respinge întrucât, în raport de tardivitatea solicitărilor contestatoarei, nu s-a constatat necesitatea dispunerii unor măsuri de remediere. Față de cele mai sus menționate, în temeiul dispozițiilor art. 26 alin. (6) din Legea nr. 101/2016, Consiliul va respinge, ca nefondată, contestația Pagina 33 din 34

formulată de societatea (...), în contradictoriu cu entitatea contractantă (...). Pentru aceste motive, în baza legii și a mijloacelor de probă aflate la dosar, CONSILIUL DECIDE: Respinge, ca nefondată, contestația formulată de societatea (...), în contradictoriu cu entitatea contractantă (...). Prezenta decizie este obligatorie pentru părți, în conformitate cu dispozițiile art. 28 alin. (1) din Legea nr. 101/2016. Împotriva prezentei decizii se poate formula plângere, în termen de 10 zile de la comunicare pentru părțile cauzei, respectiv de la data luării la cunoștință de către alte persoane vătămate. PREȘEDINTE, MEMBRU, MEMBRU,

Redactat în 4 exemplare originale, conține 34 pagini Pagina 34 din 34