Decizie CNSC 1305/2024

În conformitate cu prevederile art. 14 alin. (2) și ale art. 27 alin. (1) din Legea nr. 101/2016 privind remediile și căile de atac în materie de atribuire a contractelor de achiziție publică, a contractelor sectoriale și a contractelor de concesiune de lucrări și concesiune de servicii, precum și pentru organizarea și funcționarea Consiliului Național de Soluționare a Contestațiilor, cu modificările și completările ulterioare, Consiliul adoptă următoarea DECIZIE Nr. 1305 / C4 / 1199 Data: 15.05.2024 Prin contestația nr. 732/12.04.2024, înregistrată la Consiliul Național de Soluționare a Contestațiilor cu nr. 22773/12.04.2024, depusă de Essensys Software SRL, cu sediul în str. Neagoe Vodă nr. 24-26, bloc 32, scara 1, parter, apartament 3, sectorul 1, București, CUI 17393982, număr de înregistrare în registrul comerțului J40/ 5499/2005, reprezentată legal de domnul Cosmin Lixandru - administrator și convențional de Cabinet Individual de Avocat „Dumitrache Solange Ingrid Marina”, privind procedura de licitație deschisă pentru atribuirea contractului de furnizare „Echipamente IT, datacenter, sistem de videoconferință, licențe software, servicii dezvoltare software – 3 aplicații software dedicate”, cod CPV principal 48900000-7, cu data-limită de depunere a ofertelor 28.08.2023, anunț de participare nr. CN1057054/07.07.2023, organizată de Administrația Națională de Meteorologie RA, cu sediul în șos. București - Ploiești nr. 97, sectorul 1, București, CUI 11672708, număr de înregistrare în registrul comerțului J40/3661/1999, în calitate de autoritate contractantă, reprezentată legal de doamna Elena Mateescu - director general, contestatoarea a solicitat anularea rezultatului procedurii de atribuire și obligarea autorității la reevaluarea ofertelor Essensys Software SRL, Orange România SA și asocierii Siveco Technology SRL - Power Net Consulting SRL - Crucial Systems & Services SRL, precum și la plata cheltuielilor aferente contestării (onorariu avocațial). La 22.04.2024, Orange România SA, cu sediul în bd. Lascăr Catargiu nr. 47-53, sectorul 1, București, CUI 9010105, număr de înregistrare în registrul comerțului J40/10178/1996, reprezentată de domnul Andrei Brujan - „Legal Manager”, a înaintat cererea de intervenție voluntară accesorie înregistrată la Consiliu cu nr. 25254/ 23.04.2024, prin care solicită respingerea contestației. Contestația și cererea de intervenție vor fi soluționate împreună, având în vedere dispozițiile art. 67 alin. (1) și art. 123 alin. (1) C. proc. civ., și pentru motive care țin de economie procedurală. Pagina 1 din 2

Pentru aceste motive, în baza legii și a mijloacelor de probă aflate la dosar, CONSILIUL DECIDE: Respinge, ca nefondată, contestația Essensys Software SRL nr. 732/12.04.2024, în contradictoriu cu Administrația Națională de Meteorologie RA, inclusiv în privința capătului de cerere de acordare a cheltuielilor aferente contestării. Încuviințează, în principiu, și admite cererea de intervenție voluntară accesorie nr. 25254/23.04.2024, depusă de Orange România SA. Prezenta decizie este obligatorie pentru părți. Împotriva ei se poate formula plângere, în termen de zece zile. Pagina 2 din 2

În conformitate cu prevederile art. 14 alin. (2) și ale art. 27 alin. (1) din Legea nr. 101/2016 privind remediile și căile de atac în materie de atribuire a contractelor de achiziție publică, a contractelor sectoriale și a contractelor de concesiune de lucrări și concesiune de servicii, precum și pentru organizarea și funcționarea Consiliului Național de Soluționare a Contestațiilor, cu modificările și completările ulterioare, Consiliul adoptă următoarea DECIZIE Nr. ... / ... / ... Data: ... Prin contestația nr. ..., înregistrată la Consiliul Național de Soluționare a Contestațiilor cu nr. ..., depusă de ...SRL, cu sediul în ..., CUI ..., număr de înregistrare în registrul comerțului ..., reprezentată legal de domnul ... - administrator și convențional de ..., privind procedura de licitație deschisă pentru atribuirea contractului de furnizare „Echipamente IT, datacenter, sistem de videoconferință, licențe software, servicii dezvoltare software – 3 aplicații software dedicate”, cod CPV principal 48900000-7, cu data-limită de depunere a ofertelor 28.08.2023, anunț de participare nr. ..., organizată de ..., cu sediul în ..., CUI ..., număr de înregistrare în registrul comerțului ..., în calitate de autoritate contractantă, reprezentată legal de doamna ... - director general, contestatoarea a solicitat anularea rezultatului procedurii de atribuire și obligarea autorității la reevaluarea ofertelor ...SRL, ... SA și asocierii ...SRL - ...SRL ...SRL, precum și la plata cheltuielilor aferente contestării (onorariu avocațial). La 22.04.2024, ... SA, cu sediul în ..., CUI ..., număr de înregistrare în registrul comerțului ..., reprezentată de domnul ... - „Legal Manager”, a înaintat cererea de intervenție voluntară accesorie înregistrată la Consiliu cu nr. ..., prin care solicită respingerea contestației. Contestația și cererea de intervenție vor fi soluționate împreună, având în vedere dispozițiile art. 67 alin. (1) și art. 123 alin. (1) C. proc. civ., și pentru motive care țin de economie procedurală. CONSILIUL NAȚIONAL DE SOLUȚIONARE A CONTESTAȚIILOR, asupra cauzei de față, constată următoarele: Consiliul a fost legal sesizat și este competent, potrivit dispozițiilor art. 12 alin. (1) din Legea nr. 101/2016, să soluționeze contestația de față, prin care ofertantul ...SRL reclamă decizia autorității contractante ... de declarare necâștigătoare a ofertei sale, în urma ofertelor ... SA și asocierii ...SRL - ...SRL ...SRL, în cadrul procedurii de Pagina 1 din 25

atribuire menționată în partea introductivă, învederând în motivare că, potrivit raportului procedurii nr. 1896/03.04.2024, punctajul tehnic care i-a fost acordat a fost 0, la subfactorii: - garanție și suport tehnic aplicații software (GSA); - acordarea garanției suplimentare pentru echipamentele furnizate (GE); - garanție și suport tehnic și update licența module componente (GST); - licența software (LS), punctaj pe care îl consideră eronat, întrucât a acordat garanție suplimentară la fiecare dintre acești subfactori, respectiv 36 de luni, minimul fiind de 24 de luni. Față de garanția asumate expres de ...SRL, dacă avea nelămuriri, comisia de evaluare avea obligația de a cere clarificări, în temeiul art. 134 alin. (1) din anexa la Hotărârea Guvernului nr. 395/2016. Practica în materia achizițiilor publice a reținut în mod constant obligația comisiei de a solicita clarificări. În consecință, întrucât ...SRL a ofertat garanția de 36 de luni, punctajul a fost greșit calculat și trebuie refăcut, după cum urmează: Punctaj GSA (oferta ...) = 20 * (36 - 24) / (Perioadă suport tehnic maxim - 24) = 20*12 / (Perioadă suport tehnic maxim - 24); Punctaj GE (oferta ...) = 10 * (36 - 24) / (Perioadă suport tehnic maxim - 24) = 10*12 / (Perioadă suport tehnic maxim - 24); Punctaj GST (oferta ...) = 15 * (36 - 24) / (Perioadă suport tehnic maxim - 24) = 15*12 / (Perioadă suport tehnic maxim - 24); Punctaj LS (oferta ...) = 15 * (36 - 24) / (Perioadă suport tehnic maxim - 24) = 15*12 / (Perioadă suport tehnic maxim - 24). În ceea ce privește ...și asocierea ...SRL - ...SRL ...SRL, în cazul în care au ofertat o soluție software de back-up ..., propunerile tehnice ale acestora nu îndeplinesc următoarele specificații tehnice din caietul de sarcini: 1. Cerința 3.4.1.3.7.1: „Aplicația trebuie să fie licențiată pentru a permite realizarea de back-up-uri pentru un volum de minim 100 TB date.” În considerarea arhitecturii inițiale și a posibilității viitoare de scalabilitate și pentru a nu exista nicio restricție în implementarea și dezvoltarea ulterioară a sistemului, autoritatea a solicitat licență pentru minimum 100 TB date, fără nicio limitare a numărului de mașini virtuale/servere fizice care vor fi instalate în infrastructură. Dacă cei doi concurenți au ofertat o soluție software de back-up ..., aceasta ar trebui să fie ..., a cărei licențiere disponibilă la ora actuală este pe număr de mașini virtuale. Având în vedere faptul că autoritatea nu a limitat în niciun fel numărul de mașini virtuale, utilizarea unei astfel de soluții apare ca fiind neconformă. În trecut, pentru același produs - ... - a mai existat o modalitate de licențiere, licențierea per socket, care nu mai este disponibilă spre vânzare, fiind declarată End of Sale (EOS) din 01.07.2022. Este puțin Pagina 2 din 25

probabil ca producătorul să fi dat o derogare specială în vederea comercializării unui produs EOS. Chiar și în această ipoteză, se va ajunge ca autoritatea să primească un produs EOS cu aproape 2 ani în urmă, iar luând în calcul perioada de implementare a proiectului (12 luni) și garanția ofertată, de 5 ani, se ajunge în situația în care autoritatea va dispune în anul 2030 de un produs care a fost scos de la comercializare cu 8 ani înainte. Un produs declarat EOS beneficiază de actualizări și suport pentru o perioadă limitată de timp, în general de maximum 3 ani. Totodată, se ajunge în situația în care autoritatea este constrânsă de limita de număr de socket-uri licențiate, neavând nici măcar posibilitatea de a achiziționa noi licențe per socket pentru scalarea aplicației sau pentru a îmbunătăți performanțele acesteia. Coroborând cele de mai sus, rezultă că ofertarea acestui tip de licențiere încalcă inclusiv prevederile din caietul de sarcini referitoare la garanție. În momentul în care se termină perioada de garanție/ suport, autoritatea se va găsi în imposibilitatea de a reînnoi suportul pentru licențele per socket. În concluzie, o ofertă care conține ... - licențiere per socket nu îndeplinește cerințele autorității și, prin urmare, trebuie declarată neconformă și respinsă. Există producători de soluții de back-up care permit licențierea limitată doar la volumul de date. Orice licențiere diferită de „capacity based” (volum de date) nu este conformă. 2. Cerința 3.4.1.3.6.6: „Soluția ofertată trebuie să suporte o performanță maximă agregată de cel puțin 5 TB/h.” Întrucât soluția software ... nu are un apliance propriu și necesită un hardware third party pentru a rula pe el, îndeplinirea acestei specificații tehnice se impune a fi demonstrată, respectiv trebuie demonstrat faptul că acel hardware împreună cu soluția software „poate” produce un througput de 5TB/h. Aceasta deoarece soluția software ..., neavând un target propriu specializat de back-up, nu prezintă măsurători specifice de laborator care să dovedească îndeplinirea cerinței. Un target specializat de backup, cum ar fi Data Domain, HP StoreONCE, ExaGrid sau Veritas FLEX, prezintă măsurători de laborator care pot demonstra conformitatea cu cerința. În situația unei configurații de tip BYOD (Bring Your Own Device), trebuie demonstrat acest througput. Trebuie avut în vedere inclusiv cap. IV.4.1 – „Modul de prezentare al propunerii tehnice” din fișa de date a achiziției: Ofertanții trebuie să prezinte propunerea tehnică ca parte a ofertei, pentru: - demonstrarea îndeplinirii cerințelor minime - obținerea unui punctaj ca urmare a aplicării criteriului de atribuire - evidențierea beneficiilor pe care le oferă autorității contractante. (...) Oferta tehnică trebuie să ateste conformitatea cu cerințele caietului de sarcini. Pagina 3 din 25

În consecință, în lipsa unor dovezi incluse în propunerile tehnice, ofertarea unei soluții software ... este neconformă și trebuia sancționată ca atare. 3. Cerința 3.4.1.3.6.8: „Sistemul de backup trebuie să ofere stocarea datelor pe diskurile instalate, asigurând prin modul de integrare în infrastructura propusă și protecția datelor de backup împotriva atacurilor de tip ransomware şi cryptolocker.” Întrucât soluția software ... nu are un apliance - target propriu și necesită un hardware third party pentru această funcție, se impunea ca ofertanții să demonstreze, prin prezentarea în cadrul propunerilor tehnice de documente relevante, faptul că acest hardware împreună cu soluția software asigură, prin modul de integrare în infrastructura propusă, protecția datelor de backup împotriva atacurilor de tip ransomware şi cryptolocker. Un target specializat de backup, cum ar fi Data Domain, HP StoreONCE, ExaGrid sau Veritas FLEX, oferă mecanisme avansate de protecție împotriva atacurilor de tip ransomware şi cryptolocker. În cazul unei configurații de tip BYOD, această funcționalitate se impune a fi demonstrată. În opinia ...SRL, ofertele prin care se demonstrează îndeplinirea cerinței de protecție aferentă target-ului de back-up cu presupuse mecanisme de protecție doar ale software-ului de back-up sunt neconforme și ar fi trebuit respinse ca atare. 4.1. Cerința 3.4.1.3.15.1: „Appliance virtual integrat, care să aibă rol de APIgateway, cache, load balancer, web application firewall (WAF) și web server” nu este îndeplinită. „Web server” se referă la funcționalitatea de a stoca conținut pentru site-uri web, accesibil utilizatorilor din Internet prin cereri HTTP. Relația server-client se bazează pe o aplicație care este instalată pe server și care este programată să transfere paginile web găzduite. Echipamentul FortiADC nu este conform, deoarece nu îndeplinește funcționalitatea de web server. 4.2. Cerința 3.4.1.3.15.3: „Cache de conținut” nu este îndeplinită. Echipamentul FortiADC nu este conform, deoarece nu îndeplinește funcționalitățile „cache micro și byte-range”, „setare antete Cache- Control” și „eliminare memorie cache”. 4.3. Cerința 3.4.1.3.15.6: „Securitate - Atenuarea dinamică DDoS” nu este îndeplinită. Această funcție are rolul de a proteja împotriva atacurilor DDoS, care se diferențiază de atacurile DoS în principal prin faptul că atacul este lansat din mai multe surse. Echipamentul FortiADC nu este conform, deoarece nu îndeplinește funcționalitatea „Atenuarea dinamică DDoS”. 5. Cerințele din subcapitolul 4.3.4.2.3 (4.3.4.2.3.1 - 4.3.4.2.3.6): „Transferarea dreptului de proprietate Intelectuală”. Din cuprinsul acestora rezultă că autoritatea contractantă solicită o soluție informatică personalizată, dezvoltată la cerere pentru scopul Pagina 4 din 25

proiectului. Această soluție trebuie să fie creată avându-se în vedere specificul activității autorității (gestionarea datelor cu caracter meteorologic), pe baza specificațiilor tehnice definite în caietul de sarcini, și trebuie să includă activități de tip analiză, proiectare, dezvoltare, testare, implementare. În acest sens, prin cerința nr. 4.3.4.2.3.5. din subcapitolul 4.3.4.2.3, autoritatea solicită în mod expres ca ofertanții să- i transfere codul sursă al aplicației, astfel încât să-l poată modifica independent de furnizorul inițial. Accesul la codul sursă al tuturor componentelor aplicației precum și utilizarea standardelor tehnologice neutre va permite autorității să modifice în mod independent aplicația informatică și să evite dependența pe termen lung față de un anumit furnizor/ distribuitor. Această specificație tehnică a fost inclusă în caietul de sarcini în tocmai în considerarea unor probleme grave constatate în practica anterioară a autorităților contractante, care au condus la efectuarea unor studii și adoptarea unor acte normative care să preîntâmpine perpetuarea acestora. În cazul în care cei doi operatori economici au ofertat, în propunerile lor tehnice, soluții customizate pe produse COTS, acestea nu respectă cerințele din subcapitolul 4.3.4.2.3, întrucât nu permit transmiterea către autoritate a tuturor drepturilor patrimoniale asupra operelor create sau serviciilor prestate. Licențele perpetue pentru produsele COTS nu permit cesionarea sau transferarea fără limitare geografică ori de altă natură. Mai mult decât atât, utilizarea de soluții COTS nu va permite autorității să modifice codul sursă independent de furnizorul inițial și nici să transfere acest cod către alt contractant. În punctul său de vedere nr. ... asupra contestației, înregistrat la Consiliu cu nr. ..., autoritatea contractantă susține în apărare că, din evaluarea ofertei ...SRL, rezultă că nu s-au propus perioade suplimentare pentru garanție, la niciunul dintre echipamentele ofertate. Nu au existat neconcordanțe între cifrele sau elementele prezentate, care să conducă comisia de evaluare la concluzia că sunt necesare clarificări. În concluzie, evaluarea propunerii tehnice a fost corectă, aplicarea punctajului raportându-se la informațiile prezentate în cadrul ofertei. În ipoteza în care, garanția suplimentară acordată pentru fiecare dintre reperele tehnice ofertate ar fi fost cea completată în SEAP, aceste informații ar fi trebuit să se regăsească în cadrul propunerii tehnice, ceea ce nu s-a întâmplat. În situația ipotetică în care s-ar fi adresat întrebare de clarificare cu privire la durata garanției menționată în SEAP și informațiile din cuprinsul propunerii tehnice, iar ofertantul ar fi răspuns prin menționarea altor perioade de garanție față de cele declarate în propunerea tehnică, situația ar fi condus la modificarea conținutului propunerii tehnice, iar oferta ar fi fost considerată inacceptabilă. În plus, orice întrebare de clarificare ar fi condus la crearea unui avantaj incorect față de ceilalți ofertanți. Pagina 5 din 25

Printr-un eventual răspuns ce ar fi presupus modificarea tuturor secțiunilor din propunerea tehnică (+ 12 luni), s-ar fi ajuns la situația în care, în urma corectării respectivei abateri/omisiuni, s-ar fi schimbat clasamentul ofertanților. Prin urmare, modificarea propunerii tehnice nu ar fi putut fi considerată abatere tehnică minoră. În concluzie, comisia a considerat în mod corect că situația de față nu se încadrează pentru solicitarea de clarificări având în vedere că informațiile care prezentau relevanță s-au regăsit în ofertă și nu în secțiunea din SEAP unde ofertantul poate completa orice fel de informații, dar care ar trebui susținute în mod echivoc de oferta sa tehnică. Centralizând informațiile prezentate în cadrul formularului de propunere tehnică, se desprind următoarele: Perioada de garanție oferită pentru factorul de evaluare GSA – 2 ani (24 de luni) - 3.4.1.3.1 – 2 ani (24 luni) - 3.4.1.3.2 – 2 ani (24 luni) - 3.4.1.3.3– 2 ani (24 luni) - 3.4.1.3.5– 2 ani (24 luni) - 3.4.1.3.6 – 2 ani (24 luni) - 3.4.1.3.8 – 2 ani (24 luni) - 3.4.1.3.10– 2 ani (24 luni) - 3.4.1.3.11 – 2 ani (24 luni) - 3.4.1.3.12 – 2 ani (24 luni) - 3.4.1.3.13– 2 ani (24 luni) - 3.4.1.3.16 – 2 ani (24 luni) - 3.4.1.3.17 – 2 ani (24 luni) - 3.4.1.3.18– 2 ani (24 luni) - 3.4.1.3.19 – 2 ani (24 luni) - 3.4.1.3.20 – 2 ani (24 luni) - 3.4.2.2.1– 2 ani (24 luni) - 3.4.2.2.2 – 2 ani (24 luni) - 3.4.2.2.3 – 2 ani (24 luni) - 3.4.2.2.4.1– 2 ani (24 luni) - 3.4.2.2.4.2 – 2 ani (24 luni) - 3.4.2.2.5. – 2 ani (24 luni) Perioada de garanție și suport tehnic pentru factorul de evaluare GST - 3.4.1.3.14 – 2 ani (24 luni) - 3.4.1.3.15 – 2 ani (24 luni) Perioada valabilitate, acces la update-uri și versiuni noi licențe software pentru factorul de evaluare LS - 3.4.1.3.7 – 2 ani (24 luni) - 3.4.1.3.9 – 2 ani (24 luni). În concluzie, punctajul obținut pentru componenta tehnică a fost de 0 puncte. Pe de altă parte, ...SRL este clasată pe locul III în clasament și nu are niciun interes direct, personal, legitim și actual în formularea contestației. În măsura în care s-ar admite contestația, oferta ...SRL ar Pagina 6 din 25

rămâne necâștigătoare, deci nu se va realiza niciun folos pentru societate. Cu privire la cerința 3.4.1.3.7.1: „Aplicația trebuie să fie licențiată pentru a permite realizarea de back-up-uri pentru un volum de minim 100 TB date.”, ...SRL pornește de la ipoteza conform căreia concurenții săi ar fi propus soluții care sunt licențiate într-un anumit mod, mod care nu îndeplinește cerința din caietul de sarcini, însă ipoteza nu se confirmă, din următoarele considerente: Cerința nu au avut drept scop solicitarea unui sistem de back-up care să fie bazat pe un anumit tip de licențiere (per socket sau per mașină virtuală). Autoritatea a formulat cerința cu privire la back-up dintr-o perspectivă funcțională, respectiv prin intermediul volumului de date pentru care este necesar să fie realizate copiile de siguranță, formulând, totodată, un răspuns la solicitarea de clarificare menit să confere un ordin de mărime minimal pentru numărul de mașini virtuale care trebuie incluse în back-up; Conform cu modalitatea uzuală de licențiere a soluțiilor de back-up există două tipologii principale de astfel de soluții: a) soluții a căror licențiere se bazează pe numărul de mașini virtuale, caz în care volumul de date pentru care se realizează back-up devine irelevant; b) soluții a căror licențiere se bazează pe volumul de date, caz în care numărul de mașini virtuale devine irelevant; Pentru a nu îngrădi dreptul de participare la procedura de achiziție, cerința și clarificarea au fost formulate în spiritul clarificării cerinței funcționale, respectiv minimum 100 TB data și minimum 35 mașini virtuale, putând fi ofertate orice soluții care îndeplinesc aceste cerințe. Orice soluție de back-up care îndeplinea concomitent cerințele ar fi fost considerată conformă, indiferent dacă se utiliza licențierea per socket sau per mașină virtuală. Totodată, presupunând că licențierea propusă de ofertanții care se situează pe primele locuri a fost propusă ca fiind realizată pentru mașini virtuale și licențe, cerința cu privire la realizarea de back-up pentru 100 TB este îndeplinită, întrucât cele 35 de mașini virtuale vor putea avea alocat un volum nelimitat de spațiu de stocare pentru care realizează copii de siguranță, fără niciun fel de restricție din punct de vedere licențiere. Suspiciunea de furnizare a unor soluții de back-up End of Life/End of Sale nu este conformă cu realitatea, fiind propuse soluții care sunt licențiate de către producător conform regulilor în vigoare și care sunt în suport/licențiate pentru o perioadă care să acopere inclusiv garanția maximă solicitată. Referitor la cerința 3.4.1.3.6.6: „Soluția ofertată trebuie să suporte o performanță maximă agregată de cel puțin 5 TB/h.”, autoritatea precizează că a formulat cerința dintr-o perspectivă tehnologică legată Pagina 7 din 25

de arhitectura sistemului de back-up, fără a exista intenția unei corelări directe între platforma hardware și cea software. Din punct de vedere tehnic, caracteristicile hardware ale soluției de back-up primează atunci când se determină performanța soluției. Demonstrarea și atestarea conformității soluției de back-up propusă de către compania declarată câștigătoare a fost realizată prin: - conectarea sistemului de back-up folosind interfețe de rețea de mare viteză (25 Gbps fiber channel) - utilizarea discurilor de stocare de tip „Flash Memory”, ce oferă viteze mari de scriere și citire, furnizând un throughput de 21 Gbps. Corelând aceste specificații, se ajunge la concluzia că, din punct de vedere hardware, viteza posibilă a sistemului depășește cerința minimă din caietul de sarcini, pentru care nu s-a specificat demonstrarea prin intermediul unor măsurători de laborator, tocmai pentru a nu îngrădi posibilitatea de a oferta sisteme bazate pe principiul „Bring Your Own Device”, sisteme care îndeplinesc aceleași funcționalități și care au aceleași performanțe ca target-urile specializate de back-up, dar la un cost sensibil mai mic. Referitor la cerința 3.4.1.3.6.8: „Sistemul de backup trebuie să ofere stocarea datelor pe diskurile instalate, asigurând prin modul de integrare în infrastructura propus și protecția datelor de backup împotriva atacurilor de tip ransomware și cryptolocker.”, autoritatea arată că soluțiile furnizate de ofertanții clasați pe primele locuri oferă funcționalități de protecție împotriva ransomware și cryptolockere similare cu cele sugerate prin intermediul contestației formulate prin referire la alți producători de tehnologie, precum Data Domain, HP StoreONCE, ExaGrid sau Veritas FLEX, respectiv: - back-up-uri imutable - criptarea datelor back-up-ate - utilizarea canalelor de back-up (transportul) în format criptat - verificarea automată a datelor prin scanare cu motoare de scanare puse la dispoziție de platforma de back-up - monitorizarea și alertarea activă. Orice comparație între soluția furnizată de compania declarată câștigătoare și alte sisteme de back-up din perspectiva protecției împotriva ransomeware și a cryptolockerelor, prin intermediul căreia s-ar putea considera neîndeplinirea cerinței 3.4.1.3.6.8. este forțată și tendențioasă. Autoritatea consideră ca acest punct al contestației nu este fondat și, pe cale de consecință, nu trebuie admis. Cu privire la cerința 3.4.1.3.15.1: „Appliance virtual integrat, care să aiba rol de API gateway, cache, load balancer, web application firewall (WAF) și web server.", este vorba despre existența unui server web care să permită funcționalități de reverse proxy, nu despre un server care să fie definit ca furnizor de conținut și/sau site-uri/aplicații web. Practic, Pagina 8 din 25

este vorba de o inadvertență minoră din punct de vedere al cerințelor tehnice formulate, care nu aduce atingere sub nicio formă capacității ofertanților de a formula propuneri care să îndeplinească cerințele tehnice minimale. Această afirmație este susținută de faptul că majoritatea producătorilor de tehnologie specifică echipamentelor de tip load balancer cu capabilități de firewall pentru aplicațiile web (WAF) nu au în componență servere web care să poată fi utilizate în sensul în care a fost formulat punctul curent din contestație. Având în vedere cele de mai sus, autoritatea consideră că acest punct al contestației nu este fondat și, pe cale de consecință, nu trebuie admis. Referitor la cerința 3.4.1.3.15.3: „Cache de conținut”, în conformitate cu specificațiile existente pe site-ul producătorului pentru soluția propusă de către compania declarată câștigătoare, appliance-ul virtual propus are funcționalități de realizare cacheing de conținut. Informații suplimentare se pot consulta la https://www. fortinet.com/content/dam/fortinet/assets/data-sheets/FortiADC.pdf. Cerința „Cache micro” este dovedită prin intermediul următoarelor opțiuni de configurare (informație preluată din documentația de configurare

a

soluției

propuse

-

https://docs. fortinet.com/document/fortiadc/7.2.0/handbook/885727/configuring- caching-rules): După intervalul de timp specificat în cadrul acestei opțiuni de configurare (care poate fi minimum 60 de secunde), elementul dinamic care a fost salvat în cache este eliminat. Precizarea conform căreia cacheingul trebuie păstrat pentru intervale de timp de „până la o secundă” este o prezumție nefondată, intervalul minim nefiind precizat în cadrul cerinței tehnice. Cerința legată de Byte Caching trebuie considerată, ca toate celelalte cerințe din caietul de sarcini, dintr-o perspectivă funcțională, nu de marketing sau pur tehnică. Astfel, funcțional vorbind, așteptarea este ca echipamentul de tip WAF să returneze către clienți răspunsuri în serii de calupuri de date, astfel încât performanțele aplicațiilor web să fie îmbunătățite. Această funcționalitate este obținută prin intermediul parametrilor

de

configurare

descriși

la: https://docs.fortinet.com/document/fortiadc/7/4/3/handbook/ 885727/configuring-caching-rules. Setând parametrul Maximum Object Size la o valoare cât mai mică, se obține rezultatul necesar, întrucât la momentul atingerii pragului setat se va transmite o cerere către serverele backend, rezultatul fiind furnizat clientului. Astfel, răspunsul total este transmis în mai multe răspunsuri mai mici, conform așteptărilor funcționale. Pagina 9 din 25

Autoritatea consideră că funcționalitatea solicitată este disponibilă sub o denumire echivalentă și, pe cale de consecință, acest punct din contestație este neîntemeiat. Cerința „Înlocuire sau setare antete Cache-Control” este dovedită prin opțiunile de configurare are soluției propuse, care permit configurarea de headere (antete) HTTP (informație preluată din documentația de configurare a soluției propuse - https://docs. fortinet.com/document/fortiadc/7.2.0/handbook/28253/using-content- rewriting-rules): Prin configurarea acestor opțiuni este posibilă modificarea oricărui antet HTTP, pe cale de consecință și a celui denumit „Cache-Control” Cerința „Eliminare memorie cache” este dovedită prin intermediul următoarelor opțiuni de configurare (informație preluată din documentația de configurare a soluției propuse - https://docs. fortinet.com/document/fortiadc/7.2.0/handbook/885727/configuring- caching-rules): După intervalul de timp specificat de această configurare, elementul salvat în cache este eliminat. Având în vedere cele de mai sus, autoritatea consideră că acest punct al contestației nu este fondat și, pe cale de consecință, nu trebuie admis. Cu privire la cerința 3.4.1.3.15.6: „Securitate - Atenuarea dinamică DDoS”, în conformitate cu specificațiile existente pe site-ul producătorului pentru soluția propusă de către compania declarată câștigătoare, appliance-ul virtual propus are funcționalități de protecție împotriva atacurilor de tip DDoS. Informații suplimentare se pot consulta la

link-ul

următor:https://www.fortinet.com/content/ dam/fortinet/assets/data-sheets/FortiADC.pdf. Pasajul relevant cu privire la funcționalitățile de cache-ing este subliniat în imaginea de mai jos: Pagina 10 din 25

Totodată, capabilitățile de configurare permit setarea mai multor parametri care servesc scopului precizat în cadrul acestui punct al contestației, respectiv atenuarea atacurilor de tip DDoS. Acești parametri pot fi consultați în imaginile de mai jos: Cu privire la cerințele din subcapitolul 4.3.4.2.3 (4.3.4.2.3.1. - 4.3.4.2.3.6.), autoritatea susține că a evaluat ofertele tuturor ofertanților astfel încât să asigure conformarea cu cerințele aferente capitolul 4, subcapitolul 4.3.4.2 din caietul de sarcini. Acest capitol acoperă subiectele transferului codului sursă și a tuturor materialelor utilizate în compilarea și rularea software-ului, precum și transferul dreptului de proprietate intelectuală. Nu s-au identificat abateri de la cerințele caietului de sarcini, ofertele declarate conforme stipulând în mod explicit faptul ca se vor respecta cerințele de transfer de cod sursă și alte materiale, precum și transferul proprietății intelectuale către autoritate. În ceea ce privește afirmația ...SRL legată de invalidarea soluțiilor tehnice bazate pe software COTS personalizat – toate ofertele declarate ca admisibile includ asumarea respectării criteriilor de transfer de cod sursă și drept de proprietate intelectuală pentru orice dezvoltare realizată în cadrul acestui proiect. În plus, autoritatea nu a identificat în rândul ofertelor admisibile propuneri de utilizare de platforme COTS dincolo de integrarea cu astfel de platforme care există deja în portofoliul autorității sau construirea aplicațiilor solicitate în caietul de sarcini peste platforme open source. Pagina 11 din 25

Prin cererea sa de intervenție, ... SA solicită respingerea contestației, arătând că cerințele din caietul de sarcini și răspunsurile de clarificare sunt îndeplinite de oferta sa, care nu include licenţa .... Există disponibilă licența „... Data Platform Advanced Universal Perpetual License”, ce poate fi utilizată pentru a licenția orice fel de aplicații, mașini fizice, mașini virtuale sau cantitate/capacitate de date, conform politicii de licențiere a producătorului (https://www.....com/licensinq- policy.html). Prin utilizarea soluției ... și a licențierii curente a producătorului bazată pe licențe universale - ... Data Platform Universal Perpetual License, se îndeplinesc în totalitate cerințele pentru soluția de backup, conform specificațiilor din caietul de sarcini și răspunsurile de clarificare. Licența disponibilă, identificată ca V-ADWUL-0I-PP000-00, ... Data Platform Advanced Universal Perpetual License 10 Instances, în cantitate de 10 pachete fiecare, rezultând astfel un număr de 100 instanțe ofertate, respectă în totalitate cerința din caietul de sarcini 3.4.1.3.7.1, deoarece licența ofertată nu are limită de capacitate (fie că aceasta este exprimată în terabytes sau altă capacitate), aceasta putând fi utilizată pentru orice cantitate de date. Astfel, dacă autoritatea va depăși 100 TB, soluția de backup este utilizabilă fără extinderea licențierii. Licențierea ..., care se bazează pe o presupunere a contestatoarei, nu a fost inclusă în oferta ... SA. Referitor la cerința „5 TB/h”, intervenienta confirmă că, prin documentele prezentate, oferta sa suportă această performanță, fapt confirmat și de exemplul care se regăsește la linkul: https://bp. ....eom/vbr/2_Desiqn_Structures/D_..._Components/D_ba ckup_proxies/nas proxies.html. Referitor la cerința 3.4.1.3.6.8: „Sistemul de backup trebuie să ofere stocarea datelor pe diskurile instalate, asigurând prin modul de integrare în infrastructura propusă și protecția datelor de backup împotriva atacurilor de tip ransomware și cryptolocker”, intervenienta confirmă ca prin documentele prezentate îndeplinește cerințele din caietul de sarcini. Referitor la o posibilă soluție bazată pe producătorul ..., aceasta este conformă. Detalii suplimentare se găsesc pe: https://helpcenter.....com/docs/backup/vsphere/ immutability.html? ver=120. Din perspectiva ... SA, de integrator de soluții IT&C, în funcționarea unui echipament de tip „load balancer cu capabilități de firewall pentru aplicațiile web (WAF)”, intervine conceptul de server virtual (virtual server/VS) și server țintă (target server). Astfel, pentru fiecare conexiune inițiată de un client, echipamentul oferit (FortiADC în cazul său) îndeplinește dublul rol de server web (virtual server) și de client pentru cele două tipuri de conexiuni. Așadar, în ceea ce privește conexiunile de tip client/server pentru sesiunile TCP și de aplicație web, se pot identifica două scenarii, după cum urmează: Pagina 12 din 25

- conexiuni de tip „Virtual Server” sau sesiuni nesecurizate, în care „clientul” aplicației se găsește de regulă în rețeaua externă, în internet, și pentru care serverul web este reprezentat de echipamentul FortiADC. Aceste conexiuni necesită protecție din partea echipamentului oferit, iar funcționalitatea de server web este asigurată prin intermediul virtual server al FortiADC; - conexiuni de tip „target server” sau conexiuni securizate: sunt acele conexiuni criptate care se stabilesc, de obicei, între „load balancer cu capabilități de firewall pentru aplicațiile web” (FortiADC, în acest caz) și „target server”. În aceasta situație, FortiADC acționează în calitate de client. Ambele tipuri de conexiuni sunt prezente simultan, cu mențiunea că FortiADC va avea întotdeauna și conexiuni de tip „virtual server”. Astfel, funcționalitatea de tip server web este îndeplinită de configurația virtual serverul FortiADC pentru aplicațiile web. Configurarea și modul de funcționare a virtual servers este descrisa pe larg în ghidul de configurație

al

producătorului

disponibil

la: https://docs.fortinet.eom/document/fortiadc/7.2.0/handbook. În ceea ce privește punctul 4.2. din cadrul contestației, ... SA arată ca funcționalitățile menționate sunt furnizate prin platforma FortiADC- VM32: - conținut static și dinamic în cache. Echipamentul oferit suportă conținut static și dinamic. Document referința, manual: https:// docs.fortinet.eom/document/fortiadc/7.2.1/handbook/885727/confiqurin q-cachinq-rules; - cache micro și byte-range. Echipamentul în cauză suportă configurarea de limite caching atât la nivel de byte/megabyte cât și la nivel de număr de obiecte (indiferent de dimensiunea acestora). Acest fapt oferă posibilitatea definirii de reguli pentru micro- segmentarea numărului și mărimii obiectelor permise în cache. Document referință (referinţa CLI): https://docs.fortinet.eom/ document/fortiadc/7.2.1/cli- reference/383935/confiq-load-balance-caching. De asemenea, stocarea conținutului poate fi făcută pentru valori scurte de timp, chiar și de o secundă. Documentația atestă faptul că durata poate fi setată și la o secundă; - servire conținut atunci când originea nu este disponibilă. Echipamentul în cauza furnizează funcționalitatea prin configurarea de static caching. Origin server nu mai este contactat în cazul în care există deja

conținutul

stocat

în

cache.

Document

referință: https://docs.fortinet.com/document/fortiadc/7.2.1/handbook/885727/co nfigurinq-caching- rules; - înlocuire sau setare antete cache-control. Echipamentul în cauză furnizeaza funcţionalitatea prin configurarea de politici HTTP header rewrite. Cache-control headers sunt headere ale protocolului HTTP care pot fi modificate prin content rewrite. Document referinţă: Pagina 13 din 25

https://docs.fortinet.eom/document/fortiadc/7.2.1/cli-reference/ 927794/config-load- balance-content-rewritinq; - eliminare memorie cache. Echipamentul în cauza furnizează funcționalitatea menționată. Eliminarea memoriei cache fiind posibilă manual sau prin configurarea time-out-ului, pentru cache dinamic. Document referință: https://docs.fortinet.eom/ document/fortiadc/ 7.2.0/handbook/885727/configuringcaching-rules#server-load- balancinq_3762651691_1236874. Cât privește punctul 4.3, răspunsul anterior din propunerea tehnică confirmă posibilitatea configurării politicilor pentru multiple surse ale atacurilor, satisfăcând cerința pentru atacuri distribuite DDoS. Mai mult, se specifică faptul că multipli parametri și valori de prag pot fi configurați, îndeplinind cerința de atenuare „dinamică”, astfel încât doar atunci când pragurile menționate sunt depășite vor fi detectate, atenuate și raportate atacurile. Pentru mai multe informații despre atenuarea dinamică

DDoS:

https://docs.fortinet.eom/ document/fortiadc/7.2.0/handbook/154335/chapter-8-dos-protection. În plus, protecții suplimentare pentru multiple situații specifice DDoS sunt menționate în ghidul de configurare al producătorului, împreună cu instrucțiuni specifice și detaliate de configurare. Ghidul complet poate fi accesat

la

adresa: https://docs.fortinet.eom/document/fortiadc/7.2.0/handbook. Atât atacurile de tip DoS, cât și DDoS pot fi atenuate, logate și raportate în mod dinamic de soluția propusă FortiADC. ... SA adaugă că indiferent de punctajul tehnic acordat ofertei ...SRL de către autoritate, în niciun caz nu s-ar putea modifica clasamentul, în sensul plasării ofertei sale pe locul I, astfel cum rezultă din aspectele de mai jos: Factori de evaluare Punctaj obținut de Orange Eventual punctaj obținut de Essensys Punctaj financiar 40 39.95 Punctaj tehnic 60 60 (în eventualitatea reevaluării și obținerii punctajului maxim) Punctaj total 100 99.95 Acțiunea contestatoarei față de rezultatul procedurii de atribuire nu îndeplinește una dintre condițiile cumulative ale interesului, respectiv să fie personal, pe care nu îl poate demonstra în legătură cu prezenta procedură de atribuire, având în vedere că indiferent de punctajul tehnic obținut, oferta sa nu ar putea fi clasată pe locul I. Ca urmare a reevaluării, contestatoarea nu ar avea un folos practic al unui astfel de demers, oferta sa neputând fi declarată câștigătoare. În contextul în care nu a demonstrat calitatea de persoana vătămată raportat la actele atacate, astfel cum prevăd dispozițiile art. 2 alin. (1) și art. 3 alin. 1 lit. f) din Legea nr. 101/2016, se impune respingerea contestației, ca lipsită de interes. Pagina 14 din 25

Intervenienta a înregistrat la Consiliu, cu nr. 26592/29.04.2024, o declarație datată 23.04.2024 din partea TD Synnex, distribuitor ... Software în România: Prin prezenta va comunicam urmatoarele: 1. Referitor procedura de atribuire organizata de catre ... avand ca obiect „Echipamente IT Datacenter, sistem de videoconferinta, licente software, Servicii dezvoltare software - 3 Aplicaţii software dedicate", anunt de participare SEAP nr. ..., pe parcursul anului 2023, ... Software a decis redenumirea licenţei ... in ... Data Platform - Advanced Edition, folosirea ambelor denumiri referindu-se la acelasi produs. Denumirile comerciale ale produsului ... includ cele 2 componente: ... Backup & Replication si ... One. 2. De altfel, operatiunea de redenumire nu a implicat niciun fel de modificari in ceea ce priveste la functionalitatile licentei. 3. Cu privire la cerintele caietului de sarcini, confirmam faptul ca licenta ... Data Platform - Advanced Edition (fosta ...) indeplineste toate functionalitatile solicitate de autoritatea contractanta in cadru procedurii de atribuire indicata la punctul 1 de mai sus, asa cum au fost prezentate si de catre ...prin oferta tehnica, inclusiv cele semnalate de Essensys Software: „3.4.1.3.7.1. Aplicaţia trebuie sa fie licentiata pentru a permite realizarea de back-up- uri pentru un volum de minim 100TB date” De asemenea, confirmam ca modalitatea de licentiere ofertata in cadrul procedurii de atribuire anterior indicata permite autoritatii contractante realizarea de back-up-uri asa cum au fost solicitate prin documentatia de atribuire, respectiv pentru un volum de minim 100TB de date, pentru minim 35 de masini virtuale (instante), conform raspunsurilor la intrebarile de clarificari din perioada de depunere a ofertelor. Pentru fiecare masina virtuala (instanta) licentiata ... Data Platform - Advanced Edition (alias ...), volumul/capacitatea de storage asociata poate cuprinde valori de zeci de TB. Astfel, un numar de 35 de masini virtuale licentiate ... Data Platform - Advanced Edition (alias ...) poate depasi cu mult capacitatea de 100TB, fara a fi nevoie de licente suplimentare de backup. „3.4.1.3.6.6. Soluţia ofertata trebuie sa suporte o performanta maxima agregata de cel puţin 5TB/h" Totodata, aratam faptul ca cerinţa mentionata nu este specifica unei soluţii software de backup, fiind necesar un ecosistem de componente pentru atingerea performantei solicitate. Soluţia software de back-up nu limiteaza throughput-ul de scriere pe echipamentul de stocare a back-urilor, aceasta limitare fiind data de către caracteristicile tehnice ale echipamentului pe care se stocheaza datele, aceasta cerinţa fiind mentionata in caietul de sarcini la capitolul privind sistemul de backup. In acest sens, Orange a propus un echipament de stocare ca parte a „Sistemului de backup" ce respecta in totalitate cerinţele documentaţiei, inclusiv o performanta cu o valoare mult peste capacitatea de 5TB/h. „3.4.1.3.6.8. Sistemul de backup trebuie sa ofere stocarea datelor pe diskurile instalate, asigurandprin modul de integrare in infrastructura propusa si protectia datelor de backup impotriva atacurilor de tip ransomware si cryptolocker" Cerinţa mentionata nu este specifica unei soluţii software de backup, fiind mentionata in caietul de sarcini la capitolul privind sistemul de backup si fiind îndeplinita de un ansamblu de componente. In link-urile de pe site-ul oficial al ... software se regăsesc instrucţiunile si recomandările pentru protectia datelor impotriva atacurilor de tip ransomware şi cryptolocker: https://www.....com/blog/ransomware-protection-best-practices.html https://www.....com/blog/ransomware-prevention-best-practices.html Va rugam sa observaţi faptul ca aceste informaţii emana de la producătorul efectiv al acestor licenţe, fiindu-i astfel opozabile in totalitate. Fata de toate aspectele precizate in cadrul prezentei, va rugam sa luaţi act cu privire la faptul ca licenţele ... Software pe care le-ati ofertat in cadrul procedurii de atribuire avand ca obiect „Echipamente IT Datacenter, sistem de videoconferinta, licenţe software, Servicii dezvoltare software - 3 Aplicaţii software dedicate", anunţ de participare SEAP nr. ... Pagina 15 din 25

îndeplinesc in totalitate functionalitatile solicitate de către autoritatea contractana prin caietul de sarcini. Prin concluziile scrise înregistrate la Consiliu cu nr. ..., ...SRL răspunde punctului de vedere al autorității și cererii de intervenție formulată de ... SA. Conținutul acestor concluzii nu va fi redat aici, pentru a nu încărca excesiv și, astfel, îngreuna parcurgerea prezentei decizii, însă va fi avut în vedere de membrii completului la adoptarea soluției. Sunt transmise și dovezile cheltuielilor solicitate de contestatoare. Din examinarea coroborată a materialului probator administrat, aflat la dosarul cauzei, după verificarea din oficiu a competenței generale, materiale și teritoriale, potrivit art. 131 alin. (1) C. proc. civ., și după deliberare, Consiliul reține că, prin anunțul de participare nr. ..., publicat în Sistemul Electronic de Achiziții Publice – SEAP la 07.07.2023, autoritatea contractantă ... a inițiat o procedură de licitație deschisă în vederea procurării de diverse echipamente și aplicații informatice specializate, estimate valoric la 11.189.145,19 lei, fără TVA. Documentația de atribuire a fost postată în SEAP la 07.07.2023, alături de anunțul de invitare la competiție. La procedură au fost primite cinci oferte, între care și aceea a ...SRL, care a fost clasată pe locul III, cu 39,95 puncte, în urma ofertelor ... SA (100 puncte) și a asocierii ...SRL - ...SRL ...SRL (89,68 puncte). Împotriva acestui rezultat, pentru motivele evocate mai sus, ...SRL a învestit Consiliul, în termenul legal, cu soluționarea contestației care formează obiectul prezentei cauze, premisă a controlului administrativ- jurisdicțional. Cauțiunea aferentă, în valoare de 223.783 lei, a fost constituită prin recipisa de consemnare nr. ..., emisă de ..., la data de 16.04.2024. Înainte de a intra în cercetarea fondului aspectelor sesizate de reclamantă, în contextul invocării de către intervenienta ... SA și de ... a excepției lipsei de interes a contestatoarei, raportat la art. 26 alin. (1) din Legea nr. 101/2016 și la art. 248 alin. (1) C. proc. civ., Consiliul este ținut să analizeze cu precădere excepția, dat fiind că validitatea contestației depinde de soluționarea ei. Însă, la ordine, anterioară analizării excepției care tinde la respingerea incipientă a contestației, este necesară determinarea admisibilității în principiu a cererii în cuprinsul căreia a fost invocată, respectiv a cererii de intervenție depusă de ... SA. Astfel fiind, Consiliul ia act că această societate are calitatea de ofertantă câștigătoare la procedura de atribuire, are calitate și capacitate procesuală și a dovedit un interes legitim propriu în pricină prin promovarea cererii, constând în menținerea poziției de câștigătoare, motiv pentru care, în conformitate cu art. 65 alin. (1) C. proc. civ., Consiliul încuviințează în principiu cererea de intervenție. Din parcurgerea cuprinsului acestei cereri, se vădește că ea este de sprijinire a întâmpinării autorității contractante, fără nicio pretenție proprie cu Pagina 16 din 25

privire la actele atacate în prezenta procedură administrativ- jurisdicțională, situație în care Consiliul stabilește că cererea este de intervenție voluntară accesorie, în favoarea ..., cum de altfel este denumită de semnatar. Cererea se circumscrie art. 17 alin. (3) și (4) din Legea nr. 101/2016 – „(3) Până la soluționarea contestației de către Consiliu, operatorii economici interesați să participe la procedura de atribuire, respectiv, după caz, operatorii economici participanți la procedura de atribuire pot formula cerere de intervenție voluntară în litigiu, potrivit prevederilor Legii nr. 134/2010 privind Codul de procedură civilă, republicată, cu modificările ulterioare, în termen de 10 zile de la data publicării în SEAP a contestației. În cazul procedurilor a căror inițiere nu se realizează prin publicare în SEAP, termenul de 10 zile se calculează de la data comunicării contestației. (4) Cererea de intervenție se înaintează atât Consiliului, cât și autorității contractante și contestatorului/contestatorilor, nu mai târziu de expirarea termenului legal de formulare a acesteia.” –, în sensul că a fost formulată în termenul de 10 zile de la data publicării contestației în SEAP, calculat conform art. 5 din Legea nr. 101/2016: Art. 5. - (1) Termenele procedurale stabilite de prezenta lege, exprimate în zile, încep să curgă de la începutul primei ore a primei zile a termenului și se încheie la expirarea ultimei ore a ultimei zile a termenului. (2) Ziua în cursul căreia a fost comunicat un act procedural nu este luată în calculul termenului. Dacă ultima zi a unui termen exprimat altfel decât în ore este o zi nelucrătoare, termenul se încheie la expirarea ultimei ore a următoarei zile lucrătoare. De asemenea, cererea a fost comunicată, prin serviciul poștal, nu doar Consiliului, ci și autorității și contestatoarei. Se poate trece la cercetarea excepției lipsei de interes, ridicată de intervenientă și de autoritate, față de care forul jurisdicțional stabilește caracterul neîntemeiat, întrucât acordarea punctajului maxim (60), în loc de 0 puncte, la subfactorii: - garanție și suport tehnic aplicații software (GSA); - acordarea garanției suplimentare pentru echipamentele furnizate (GE); - garanție și suport tehnic și update licența module componente (GST); - licența software (LS), i-ar permite ofertantului ...SRL să avanseze pe poziția secundă, cu 99,95 puncte, cu șanse de a îi fi atribuit contractul dacă se stabilește că oferta ... SA este neconformă ori că este incident art. 207 alin. (2) din legea achizițiilor publice. Reclamanta pretinde că punctarea tehnică a ofertei sale este nelegală, întrucât nu a fost precedată de o solicitare de clarificări din partea autorității contractante, în urma căreia aceasta putea constata că, în realitate, termenele de garanție la cei patru subfactori nu sunt 24 de luni, ci 36 de luni, context în care subfactorii trebuiau punctați nu cu 0 Pagina 17 din 25

puncte, ci cu maximum corespunzător fiecăruia, totalizând 60 de puncte la partea tehnică. Forul jurisdicțional amintește că, în sistemul de atribuire a contractelor de achiziție publică, regula este conformarea din oficiu a ofertanților la cerințele prescrise de autoritate în documentația de atribuire. De asemenea, neconformitățile ofertelor constituie cauze legale de respingere a lor, iar doar pe cale de excepție neconformitățile sunt tolerabile și corectabile, ca abateri tehnice minore sau vicii de formă. Raționamentul este valabil și în privința informațiilor luate în calcul la aplicarea algoritmilor factorilor de evaluare. Relativ la obligația autorităților contractate de a solicita clarificări, esențial de observat este sediul legal primar, reprezentat de art. 209 din Legea nr. 98/2016, care nu instituie nicio obligație, ci dimpotrivă, un drept al autorității: Art. 209. - (1) În cazul în care informațiile sau documentele prezentate de către operatorii economici sunt incomplete sau eronate sau în cazul în care lipsesc anumite documente, autoritatea contractantă are dreptul de a solicita într-un anumit termen ofertanților/candidaților clarificări și, după caz, completări ale documentelor prezentate de aceștia în cadrul ofertelor sau solicitărilor de participare, cu respectarea principiilor tratamentului egal și transparenței. (11) În cazul procedurilor simplificate organizate pentru atribuirea contractelor din cadrul proiectelor de infrastructură finanțate din fonduri europene, în situația în care informațiile sau documentele prezentate de către operatorii economici sunt incomplete sau eronate sau în situația în care lipsesc anumite documente, autoritatea contractantă are dreptul de a solicita ofertanților/candidaților, de regulă, cel mult de două ori în cursul procesului de evaluare, clarificări/completări ale documentelor prezentate de aceștia în cadrul ofertelor sau solicitărilor de participare, cu respectarea principiilor tratamentului egal și al transparenței. (2) Autoritatea contractantă nu are dreptul ca prin clarificările/completările solicitate să determine apariția unui avantaj evident în favoarea unui ofertant/candidat. (3) Termenul acordat ofertanților/candidaților pentru transmiterea răspunsului la solicitarea prevăzută la alin. (1), inclusiv cu eventuala prelungire solicitată justificat de operatorul economic, este de cel mult 15 zile lucrătoare și va fi stabilit în funcție de complexitatea solicitării. Reproșând ... că nu i-a solicitat clarificări legate de perioadele de garanție, ...SRL își invocă propria culpă, propria neatenție la elaborarea ofertei, peste regula de drept nemo auditur propriam turpitudinem allegans, care nu îngăduie ca o parte să își creeze o situație favorabilă invocând propria sa vină/incorectitudine. În sensul că solicitarea de clarificări reprezintă un drept al autorității, nu o obligație, există o jurisprudență statornică a instanțelor de judecată, încă din perioada fostei Ordonanțe de urgență a Guvernului nr. 34/2006: – decizia nr. 891 din 22 februarie 2012, Curtea de Apel Alba Iulia, Secția de contencios administrativ și fiscal; – deciziile nr. 392 din 17 februarie 2016 și nr. 1522 din 5 decembrie 2016, Curtea de Apel Bacău, Secția a II-a civilă, de contencios administrativ și fiscal; Pagina 18 din 25

– deciziile nr. 3471/R din 12 iulie 2012, nr. 521/R din 29 aprilie 2015 și nr. 55/R din 19 ianuarie 2017, Curtea de Apel Brașov, Secția contencios administrativ și fiscal; – deciziile civile nr. 1567 din 18 iulie 2011, nr. 2249 din 17 octombrie 2011, nr. 5485 din 26 iunie 2014 și nr. 4478 din 30 septembrie 2016, Curtea de Apel București, Secția a VIII-a contencios administrativ și fiscal; – deciziile civile nr. 162 din 10 ianuarie 2013 și nr. 8251 din 9 septembrie 2013, Curtea de Apel Cluj, Secția a II-a civilă, de contencios administrativ și fiscal; – sentința civilă nr. 665/CA din 13 august 2008, decizia civilă nr. 152/CA din 24 aprilie 2013, Curtea de Apel Constanța, Secția a II-a civilă, de contencios administrativ și fiscal; – deciziile nr. 1552 din 21 iunie 2010, nr. 1905 din 8 septembrie 2010, nr. 2270 din 7 octombrie 2010, nr. 2546 din 27 septembrie 2011 și nr. 2454 din 6 mai 2014, Curtea de Apel Craiova, Secția contencios administrativ și fiscal; – decizia nr. 3513 din 12 iulie 2013, Curtea de Apel Galați, Secția contencios administrativ și fiscal; – decizia nr. 1201/2012-RCA din 15 martie 2012, Curtea de Apel Oradea, Secția a II-a civilă, de contencios administrativ și fiscal; – deciziile nr. 6075 din 13 decembrie 2012 și nr. 6970 din 14 august 2013, Curtea de Apel Ploiești, Secția a II-a civilă, de contencios administrativ și fiscal. Pe de altă parte, dreptul sau facultatea autorității de a solicita clarificări se manifestă doar în ipoteza în care asupra ofertei există anumite incertitudini sau neclarități, față de care evaluarea ei presupune informații lămuritoare, nicidecum atunci când conținutul ofertei este vădit pentru oricine, când nu există niciun context ce trebuie lămurit, precum includerea în propunerea tehnică a perioadelor de garanție acordată. În cadrul formularului de propunere tehnică, ...SRL a indicat expres, de cel puțin 20 de ori, în diverse secțiuni ale propunerii (enumerate de autoritate în punctul de vedere asupra contestației), ca perioadă de garanție GSA, GE, GST și LS, perioada de 2 ani (24 de luni): - 3.4.1.3.1 - 3.4.1.3.2 - 3.4.1.3.3 - 3.4.1.3.5 - 3.4.1.3.6 - 3.4.1.3.8 - 3.4.1.3.10 - 3.4.1.3.11 - 3.4.1.3.12 - 3.4.1.3.13 Pagina 19 din 25

- 3.4.1.3.16 - 3.4.1.3.17 - 3.4.1.3.18 - 3.4.1.3.19 - 3.4.1.3.20 - 3.4.2.2.1 - 3.4.2.2.2 - 3.4.2.2.3 - 3.4.2.2.4.1 - 3.4.2.2.4.2 - 3.4.2.2.5 - 3.4.1.3.14 - 3.4.1.3.15 - 3.4.1.3.7 - 3.4.1.3.9. În concluzie, voința expresă și reală, exprimată în numeroase rânduri de reclamantă, a fost de a oferta respectiva perioadă de garanție. Cele 459 de pagini ale propunerii tehnice sunt semnate de către reprezentantul ...SRL, atât olograf, cât și electronic. Potrivit art. 268 C. proc. civ., având denumirea marginală „Rolul semnăturii”: „(1) Semnătura unui înscris face deplină credință, până la proba contrară, despre existența consimțământului părții care l-a semnat cu privire la conținutul acestuia. Dacă semnătura aparține unui funcționar public, ea conferă autenticitate acelui înscris, în condițiile legii. (2) Când semnătura este electronică, aceasta nu este valabilă decât dacă este reprodusă în condițiile prevăzute de lege.” Prin urmare, întrucât semnătura are rolul de a atesta voința părții cu privire la conținutul înscrisului pe care l-a semnat, Consiliul reține drept validă garanția de 2 ani (24 luni), nicidecum garanția completată în câmpurile SEAP, neasumată de nimeni prin semnătură. Până la înscrierea în fals a propunerii tehnice, în numeroasele secțiuni privind garanția de 2 ani, quod non, ea nu poate fi considerată „greșeală regretabilă” sau ignorată de către autoritate. De bună seamă, textul art. 209 din legea achizițiilor publice nu trebuie interpretat în sensul că autoritatea poate să își exercite în mod discreționar prerogativa legală de a cere clarificări, însă datele factuale din speță relevă că organizatoarea achiziției nu a acționat arbitrar, prin abuz de drept („în scopul de a vătăma sau păgubi pe altul ori într-un mod excesiv și nerezonabil, contrar bunei-credințe”) sau cu exces de putere („exercitarea dreptului de apreciere al autorităților publice prin încălcarea limitelor competenței prevăzute de lege sau prin încălcarea drepturilor și libertăților cetățenilor”), oferta contestatoarei fiind elocventă prin prisma termenelor de garanție acordată (2 ani/24 de luni). În aparență (pentru că din redactarea contestației nu reiese expres), ...SRL se prevalează de instituția juridică a viciilor de formă, Pagina 20 din 25

însă, pe de o parte, art. 135 alin. (1) din normele metodologice ale legii fac referire, de asemenea, la dreptul comisiei de evaluare de a solicita ofertantului corectarea viciilor de formă, deci nu la vreo obligație, iar, pe de altă parte, incidența acestei instituții juridice nu se prezumă, ci trebuie dovedită. Contrar art. 10 alin. (1), art. 14 alin. (2) și art. 249 C. proc. civ., care impun părților să susțină cu argumente și mijloace de probă cele ce afirmă în fața Consiliului, contestatoarea nu a demonstrat că duratele reale din propria ofertă nu ar fi de 2 ani/24 de luni, ci de 3 ani/36 de luni, respectiv că acestea din urmă ar fi fost individualizate precis în alte secțiuni ale ofertei, nu într-o rubrică a SEAP. „Viciile de formă reprezintă acele erori sau omisiuni din cadrul unui document a căror corectare/completare este susținută în mod neechivoc de sensul și de conținutul altor informații existente inițial în alte documente prezentate de ofertant sau a căror corectare/ completare are rol de clarificare sau de confirmare, nefiind susceptibile de a produce un avantaj incorect în raport cu ceilalți participanți la procedura de atribuire”. Nu s-a făcut dovada că, din propunerea tehnică a reclamantei, ar reieși „în mod neechivoc” faptul că cei patru subfactori de evaluare au alocate alte perioade de garanție în afara celor asumate prin semnătura reprezentantului societății. Perioada de garanție reprezintă o componentă centrală a propunerii tehnice, esențială și pentru stabilirea punctajelor, deci a clasamentului final, și nu poate fi revizuită ori de câte ori dorește ofertantul, care susține că și-a completat cele peste 20 de secțiuni din propunerea tehnică dintr-o regretabilă greșeală. „Partea care este victima unei erori nu se poate prevala de aceasta contrar exigențelor bunei-credințe” (art. 1.212 C. civ.), după cum acționează în speță reclamanta. Modificarea pe care o pretinde reclamanta trebuie să atragă, fără excepție, respingerea ca neconformă a ofertei, în baza interdicției exprese de la art. 124 alin. (1) citit împreună cu art. 134 alin. (6) din normele metodologice ale legii. Nu se poate veni ulterior datei întocmirii propunerii tehnice cu o nouă perioadă de garanție, întrucât se aduce o gravă atingere principiului tratamentului egal între ofertanți – fiecare ar dori să invoce perioade de garanție mai lungi, pentru a obține mai multe puncte. Pe de altă parte, presupunând ipotetic faptul că oferta conține neconcordanțe în privința garanției, autoritatea nu poate solicita lămuriri ofertantului pe a cărui ofertă o apreciază ca fiind imprecisă. A permite autorității să solicite clarificări într-o asemenea situație ar implica riscul de a se considera că a negociat cu ofertantul, în detrimentul concurenților. Ofertantul nu poate imputa autorității nesolicitarea de lămuriri, atât timp cât lipsa clarității ofertei sale rezultă din încălcarea obligației de diligență la redactarea acesteia. Toți ofertanții sunt ținuți de obligația de diligență la redactarea propriilor oferte – abordări ale Curții Pagina 21 din 25

de Justiție a Uniunii Europene din Hotărârea din 29 martie 2012, SAG ELV Slovensko și alții, C-599/10, EU:C:2012:191. Opinia că autoritatea nu poate solicita lămuriri ofertantului a cărui ofertă o apreciază ca fiind imprecisă o întâlnim și în Hotărârea din 14 septembrie 2017, Casertana Costruzioni, C-223/16, EU:C:2017:685, Hotărârea din 4 mai 2017, Esaprojekt, C-387/14, EU:C:2017:338, și în Hotărârea din 10 octombrie 2013, Manova, C-336/12, EU:C:2013:647. Recapitulând, reprezintă culpa exclusivă a ...SRL propunerea multiplă a intervalelor de garanție de 2 ani/24 de luni, autoritatea nu era ținută de nicio obligație de a îi cere clarificarea sau modificarea acestora, iar respectivele intervale nu se încadrează în categoria viciilor de formă, altele – indiferent dacă reclamante le apreciază reale – neputând fi extrase din informații exterioare ofertei (completate la diverse rubrici din SEAP). Concluzionând, în mod temeinic și legal, oferta a fost punctată la subfactorii tehnici cu 0, din cauza intervalelor de timp repetate în numeroase locuri din propunerea tehnică. Relativ la cerința 3.4.1.3.7.1: „Aplicația trebuie să fie licențiată pentru a permite realizarea de back-up-uri pentru un volum de minim 100 TB date.”, citită împreună cu răspunsul de clarificare din partea autorității contractante, Consiliul notează că ...a ofertat soluția ... Data Platform Advanced Universal Perpetual License, utilizabilă pentru un volum de minimum 100 TB date back-up, cum a solicitat autoritatea achizitoare. Așadar, presupunerea contestatoarei în sensul că ...a ofertat soluția ... nu se confirmă. Distribuitorul ... Software în România, TD Synnex, vine să demonstreze suplimentar îndeplinirea cerinței [„un numar de 35 de masini virtuale licentiate ... Data Platform - Advanced Edition (alias ...) poate depasi cu mult capacitatea de 100TB, fara a fi nevoie de licente suplimentare de backup”]. Și cerința 3.4.1.3.6.6, privind capacitatea minimă de transfer 5 TB/h, este îndeplinită de oferta câștigătoarei, astfel cum și-a asumat expres și cum rezultă din primul exemplu care se regăsește la https://bp.....com/vbr/2_Design_Structures/D_..._Components/D_backu p_proxies/nas_proxies.html, în care este indicat un transfer de 7,68 TB/h. Autoritatea nu a interzis ofertarea de soluții constructive BYOD și nici nu a impus demonstrarea capacității de transfer prin măsurători de laborator. ...SA, în calitate de integrator profesionist de soluții IT&C, și-a asumat îndeplinirea și a cerinței de protecție a datelor de back-up împotriva atacurilor de tip ransomware și cryptolocker, propunând un echipament FortiADC, care va acționa concomitent ca server virtual și server țintă cu capabilități firewall pentru aplicațiile web și conexiuni criptate. Pagina 22 din 25

Criticile care privesc cerințele 3.4.1.3.15.1 - „Appliance virtual integrat, care să aibă rol de APIgateway, cache, load balancer, web application firewall (WAF) și web server”, 3.4.1.3.15.3 - „Cache de conținut” și 3.4.1.3.15.6 - „Securitate - Atenuarea dinamică DDoS” sunt nefondate, în contextul în care reclamanta se limitează la simple afirmații, neînsoțite de nicio argumentare concretă și, mai ales, fără niciun suport probator, contrar art. 10 alin. (1), art. 14 alin. (2) și art. 249 C. proc. civ. Nici măcar nu face trimitere la o pagină de internet cu date tehnice și, cu atât mai puțin, nu anexează manualul tehnic al echipament FortiADC pe care îl are în vedere. Părţile au obligaţia de a expune situaţia de fapt la care se referă pretenţiile şi apărările lor în mod corect şi complet, fără a denatura sau omite informaţiile care le sunt cunoscute [art. 15 alin. (2) din Legea nr. 101/2016], deci nu să se rezume la simple afirmații. În plus, după cum se cunoaște, în lumina art. 30 alin. (2) și a art. 31 alin. (3) din Legea nr. 101/2016: - în plângere, contestatorul nu poate invoca alte motive împotriva actelor autorităţii contractante decât cele cuprinse în contestaţia adresată Consiliului; - nu se pot depune probe noi faţă de cele care au fost depuse în cadrul contestaţiei. Nefondate sunt și criticile privind neîndeplinirea cerințelor din subcapitolul 4.3.4.2.3 (4.3.4.2.3.1 - 4.3.4.2.3.6), legate de transferarea dreptului de proprietate intelectuală, transfer de asemenea asumat expres de către ...SA, indiferent dacă soluțiile propuse sunt dezvoltări ale unor produse COTS. Contractul valabil încheiat are putere de lege între părțile contractante, deci și în ceea ce privește specificațiile tehnice însușite de ofertant, mai cu seamă că, în baza art. 147 alin. (1) lit. a) și b) și alin. (2) din normele metodologice ale legii achizițiilor publice, contractul de achiziţie publică are cel puţin următoarele anexe, ca parte integrantă: a) caietul de sarcini, inclusiv clarificările şi/sau măsurile de remediere aduse până la depunerea ofertelor ce privesc aspectele tehnice şi financiare; b) oferta, respectiv propunerea tehnică şi propunerea financiară, inclusiv clarificările din perioada de evaluare, iar în cazul în care, pe parcursul executării contractului, se constată că anumite elemente ale propunerii tehnice sunt inferioare sau nu corespund cerinţelor prevăzute în caietul de sarcini, prevalează prevederile caietului de sarcini. În considerarea celor evocate, Consiliul determină că în mod legal autoritatea a punctat oferta ...SRL și a admis oferta ... SA, neexistând motive pentru infirmarea acestor măsuri, pentru anularea raportului procedurii prin care a fost stabilit rezultatul procedurii și nici pentru obligarea autorității contractante la reevaluarea ofertelor. Cercetarea de Pagina 23 din 25

către Consiliu a aspectelor reclamate de contestatoare în privința ofertei de pe locul secund este de prisos, ea neputând schimba situația reclamantei, în sensul de a putea deveni adjudecatară în locul ... SA. Astfel fiind, în temeiul art. 26 alin. (6) din Legea nr. 101/2016 și în limita criticilor formulate, Consiliul va respinge ca nefondată contestația ...SRL nr. ..., în contradictoriu cu .... Respins este și capătul de cerere de acordare a cheltuielilor aferente contestării, întrucât organizatoarea nu s- a aflat în culpă procesuală, iar contestatoarea nu este partea care a câștigat procesul, ci dimpotrivă. Analiza actului atacat al autorității contractante, din punctul de vedere al legalității și temeiniciei, s-a efectuat prin prisma motivelor invocate de societatea contestatoare, în acord cu principiul disponibilității care guvernează și procedura administrativ-jurisdicțională în fața Consiliului [art. 26 alin. (2) partea introductivă din legea remediilor și art. 9 alin. (2) C. proc. civ. - obiectul și limitele procesului sunt stabilite prin cererile și apărările părților]. Cu privire la aspectele care nu au format obiectul contestației, răspunderea juridică pentru declararea câștigătoare a unei anumite oferte revine autorității contractante, ținută de lege să verifice și să stabilească modul de îndeplinire de către ofertant/ofertă a tuturor cerințelor de calificare și specificațiilor tehnice stabilite în documentația de atribuire. Art. 1 alin. (4) din normele aprobate prin Hotărârea Guvernului nr. 395/2016 statuează că autoritatea contractantă este responsabilă pentru modul de atribuire a contractului de achiziție publică/ acordului-cadru, cu respectarea tuturor dispozițiilor legale aplicabile, deci și a regulilor de elaborare a proceselor- verbale și a rapoartelor comisiei de evaluare, inclusiv în ceea ce privește concluziile verificărilor de ordin tehnic. Totodată, față de cele reținute cu prilejul examinării contestației ...SRL, Consiliul apreciază fondată cererea de intervenție formulată de câștigătoare, motiv pentru care o va admite. Pentru aceste motive, în baza legii și a mijloacelor de probă aflate la dosar, CONSILIUL DECIDE: Respinge, ca nefondată, contestația ...SRL nr. ..., în contradictoriu cu ..., inclusiv în privința capătului de cerere de acordare a cheltuielilor aferente contestării. Încuviințează, în principiu, și admite cererea de intervenție voluntară accesorie nr. ..., depusă de ... SA. Prezenta decizie este obligatorie pentru părți. Împotriva ei se poate formula plângere, în termen de zece zile. PREȘEDINTE, MEMBRU, MEMBRU, ... ... ... Pagina 24 din 25

Redactată practicaua deciziei, ... Redactată în cinci exemplare, conține douăzeci și șase de pagini. Pagina 25 din 25