Postanowienie KIO 2803/26 z 10 lipca 2026 r.

Uzasadnienie

Izba Administracji Skarbowej w Lublinie (dalej: „Zamawiający”), prowadzi z zastosowaniem przepisów ustawy z dnia 11 września 2019 r. Prawo zamówień publicznych (Dz. U. z 2024 r. poz. 1320 ze zm. dalej: „ustawa Pzp”) postępowanie o udzielenie zamówienia publicznego w trybie przetargu nieograniczonego pn.: „USŁUGA OBSŁUGI WYDRUKU NA RZECZ IZBY ADMINISTRACJI SKARBOWEJ W LUBLINIE I PODLEGŁYCH JEDNOSTEK ORGANIZACYJNYCH” (znak postępowania: 0601-ILZ.260.6.2026). Wartość szacunkowa zamówienia jest powyżej progów unijnych. Ogłoszenie o zamówieniu zostało opublikowane w Dzienniku Urzędowym Unii Europejskiej w dniu 27 maja 2026 r. pod numerem 227578-2026 .

W dniu 8 czerwca 2026 r. odwołanie do Prezesa Krajowej Izby Odwoławczej, w przedmiotowym postępowaniu złożył wykonawca Euvic S.A. z siedzibą w Gliwicach (dalej: „Odwołujący”).

Odwołanie złożono wobec treści dokumentów zamówienia w zakresie postanowień OPZ wskazanych w treści odwołania, w jakim Zamawiający wykluczył albo istotnie ograniczył możliwość realizacji usługi Centralnego Wydruku oraz skanowania w modelu scentralizowanym z wykorzystaniem infrastruktury CIRF i komunikacji przez sieć WAN, czym naruszył przede wszystkim zasady uczciwej konkurencji. Odwołanie dotyczy postanowień OPZ, które nakazują lokalne generowanie, lokalne buforowanie i lokalne przesyłanie zadań wydruku oraz wymagają pozostawiania plików skanów na zasobach lokalnych jednostek, wykluczając albo istotnie ograniczając możliwość zastosowania rozwiązania scentralizowanego utrzymywanego w infrastrukturze CIRF. Zaskarżone postanowienia dotyczą w:

1) części II pkt 4 ppkt 2 OPZ, w zakresie, w jakim Zamawiający wymaga, aby wszystkie wydruki i skany były realizowane w ramach sieci lokalnych jednostek oraz aby zadania druku i skany nie obciążały łączy WAN sieci Resortu Finansów;

2) części II pkt 6 ppkt 6 lit. a)–c) OPZ, w zakresie, w jakim Zamawiający wymaga lokalnego generowania i przesyłania wydruków oraz zakazuje kierowania wydruków generowanych lokalnie na serwer CW przez sieć WAN, poza wyjątkiem dotyczącym systemu PoltaxPlus;

3) części II pkt 6 ppkt 9 lit. a)–b) OPZ, w zakresie, w jakim Zamawiający wymaga buforowania wydruków na stacji roboczej użytkownika oraz zakazuje przesyłania wydruków na serwer CW i dalej do urządzenia drukującego;

4) części II pkt 7 ppkt 2 lit. a) OPZ, w zakresie, w jakim scenariusze testów odbiorowych dopuszczają wyłącznie model stacja robocza–drukarka i wykluczają model stacja robocza serwer–drukarka;

5) części II pkt 6 ppkt 10 lit. a)–b) OPZ, w zakresie, w jakim Zamawiający wymaga, aby plik skanu przekraczającego 2 MB pozostawał na zasobie w lokalnej sieci jednostki, w tym przykładowo na urządzeniu wielofunkcyjnym przez okres do 3 dni, zamiast dopuścić centralne, kontrolowane repozytorium skanów objęte audytem, retencją, szyfrowaniem, kontrolą dostępu i mechanizmami DLP;

6) części II pkt 7 ppkt 2 lit. b) OPZ, w zakresie, w jakim testy skanowania weryfikują jedynie otrzymanie wiadomości e-mail z linkiem i poprawność działania linku, bez wymagań dotyczących audytu pobrania, retencji, szyfrowania, DLP i trwałego usunięcia pliku.

Odwołujący zarzucił Zamawiającemu naruszenie

1) art. 16 pkt 1–3 ustawy Pzp przez przygotowanie postępowania w sposób niezapewniający zachowania uczciwej konkurencji, równego traktowania wykonawców, przejrzystości oraz proporcjonalności;

2) art. 17 ust. 1 ustawy Pzp przez ukształtowanie OPZ w sposób, który nie służy uzyskaniu najlepszych efektów zamówienia w stosunku do ponoszonych nakładów, ponieważ wymusza kosztowną (pracochłonną) architekturę lokalną mimo dostępności rozwiązań scentralizowanych;

3) art. 99 ust. 1, 2 i 4 ustawy Pzp w zw. z art. 16 ustawy Pzp przez opisanie przedmiotu zamówienia w sposób nadmiernie szczegółowy, technologiczny, co w rezultacie prowadzi do wyeliminowania rozwiązań umożliwiających osiągnięcie przez Zamawiającego celu przez wymagania funkcjonalne, bezpieczeństwa i wydajności;

4) art. 5 ust. 1 lit. c, e i f, art. 25 i art. 32 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), rozporządzenia Rady Ministrów z dnia 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności, ustawy z dnia 5 lipca 2018 roku o krajowym systemie cyberbezpieczeństwa przez wymaganie zaprojektowania modelu przetwarzania danych w sposób utrudniający centralny audyt, jednolitą retencję, kontrolę dostępu, ocenę skuteczności środków bezpieczeństwa oraz obsługę incydentów, a także pominięcie w OPZ wymagań dotyczących mechanizmów DLP dla procesu skanowania i dystrybucji plików, co utrudnia zapobieganie nieuprawnionemu ujawnieniu danych, ogranicza audytowalność incydentów oraz preferuje rozwiązania pozbawione centralnej kontroli wycieku informacji, mimo iż takie wymogi wynikają z obowiązujących przepisów prawa;

6) art. 99 ust. 1, 2 i 4 ustawy Pzp w zw. z art. 16 pkt 1-3 ustawy Pzp przez opisanie funkcjonalności skanowania w sposób preferujący architekturę opartą na lokalnym składowaniu plików skanów na zasobach jednostki albo urządzeniach MFP, mimo że rozwiązania centralne mogą zapewnić wyższy poziom bezpieczeństwa, audytowalności, rozliczalności i zgodności z wymaganiami wynikającymi z KSC/NIS2.

Odwołujący wniósł o nakazanie Zamawiającemu dokonania zmiany treści OPZ przez dopuszczenie architektury scentralizowanej, w której zadania wydruku mogą być przekazywane przez sieć WAN do serwera lub grupy serwerów CW zlokalizowanych w infrastrukturze CIRF, a następnie kierowane do urządzenia drukującego w lokalizacji użytkownika, o ile rozwiązanie spełnia wymagania bezpieczeństwa, wydajności, rozliczalności i dostępności określone w OPZ oraz potwierdzone testami odbiorowymi.

Odwołujący wnosi o zmianę części II pkt 4 ppkt 2, części II pkt 6 ppkt 6 lit. a)–c), części II pkt 6 ppkt 9 lit. a)–b) oraz części II pkt 7 ppkt 2 lit. a) OPZ w taki sposób, aby Zamawiający dokonał zmiany OPZ w taki sposób, by wprowadzając odpowiednie postanowienia, dopuścił równoważny model Centralnego Wydruku obejmujący:

1) centralną obsługę kolejek wydruku przez serwer lub grupę serwerów CW w CIRF;

2) przesyłanie zadań wydruku przez WAN, pod warunkiem szyfrowania transmisji i zapewnienia mechanizmów kontroli dostępu;

3) czasowe przechowywanie zadań wydruku na serwerze CW wyłącznie przez okres niezbędny do realizacji wydruku albo do upływu zdefiniowanego czasu retencji;

4) automatyczne usuwanie zadań po wydrukowaniu, anulowaniu lub upływie czasu retencji;

5) pełne logowanie, raportowanie i rozliczalność operacji wydruku;

6) przeprowadzenie testów bezpieczeństwa i testów wydajnościowych, w tym testu wpływu ruchu wydruku na sieć WAN.

7) dopuszczenie realizacji skanowania do centralnego repozytorium lub zasobu serwerowego zarządzanego centralnie przez zmianę części II pkt 6 ppkt 10 lit. a)–b) oraz części II pkt 7 ppkt 2 lit. b) OPZ, zamiast wymogu pozostawiania plików skanów na lokalnym zasobie jednostki, w tym przykładowo na urządzeniu wielofunkcyjnym;

8) wprowadzenie wymagań dotyczących audytu dostępu do skanów, rejestrowania pobrania pliku, automatycznej retencji, szyfrowania przechowywania i transmisji, jednoznacznego usuwania plików po upływie okresu dostępności oraz zgodności z wymaganiami KSC/NIS2 dotyczącymi zarządzania ryzykiem, kontroli dostępu i obsługi incydentów.

9) wprowadzenie wymagań DLP dla skanowania i udostępniania plików, w tym co najmniej klasyfikacji treści, wykrywania danych wrażliwych i chronionych, ograniczeń adresatów, blokowania albo kwarantanny skanów naruszających polityki bezpieczeństwa, rejestrowania prób naruszenia oraz powiadamiania administratorów bezpieczeństwa.

10) zapewnienie możliwości integracji systemu skanowania, repozytorium oraz logów zdarzeń z centralnymi narzędziami monitoringu bezpieczeństwa, SIEM/XDR oraz procedurami obsługi incydentów, tak aby zdarzenia DLP były rejestrowane, korelowane i możliwe do wykorzystania jako materiał dowodowy.

Odwołanie zostało wniesione z zachowaniem ustawowego terminu określonego w art. 515 ust. 2 pkt 1) ustawy Pzp w zw. z art. 509 ust. 2 ustawy Pzp. Informację stanowiącą podstawę dla wniesienia odwołania Odwołujący uzyskał w dniu 27 maja 2026 r. (publikacja ogłoszenia o zamówieniu i dokumentów zamówienia). W związku z powyższym odwołanie wniesione w dniu 8 czerwca 2026 r. należy uznać za wniesione w wymaganym zgodnie z ustawą Pzp terminie.

Wpis od odwołania w kwocie 15 000,00 złotych został uiszczony przelewem na rachunek bankowy Urzędu Zamówień Publicznych. Odwołujący prawidłowo przekazał kopię odwołania Zamawiającemu oraz załączył potwierdzenie przekazania odwołania Zamawiającemu.

Przystąpienie do postępowania odwoławczego w ustawowym terminie po stronie Zamawiającego zgłosił wykonawca Konica Minolta Business Solutions Polska sp. z o.o. z siedzibą w Warszawie.

Zamawiający pismem z dnia 18 czerwca 2026 r. złożył odpowiedź na odwołanie wnosząc o oddalenie odwołania w całości.

Pismem z dnia 8 lipca 2026 r. (omyłkowo datowanym na 8 czerwca 2026 r.), Odwołujący oświadczył, że cofa odwołanie oraz wniósł o zwrot 90% wartości wpisu.

W tych okolicznościach Izba zważyła, że odwołanie zostało skutecznie wycofane przed terminem posiedzenia i rozprawy z udziałem stron i uczestnika postępowania odwoławczego. Wymaga odnotowania, że odwołanie można cofnąć w każdym czasie do zamknięcia rozprawy. Cofnięcie odwołania przez Odwołującego, zgodnie art. 568 pkt 1) ustawy Pzp oraz § 13 ust. 1 pkt 6) rozporządzenia Prezesa Rady Ministrów z 31 grudnia 2020 r. w sprawie postępowania przy rozpoznawaniu odwołań przez Krajową Izbę Odwoławczą (Dz.U. 2020 poz. 2453) oznacza, że postępowanie odwoławcze podlega umorzeniu.

Koszty postępowania

O kosztach postępowania orzeczono na podstawie §9 ust. 1 pkt 3) lit. a) Rozporządzenia Prezesa Rady Ministrów z dnia 30 grudnia 2020 r. w sprawie szczegółowych rodzajów kosztów postępowania odwoławczego, ich rozliczania oraz wysokości i sposobu pobierania wpisu od odwołania (t.j. Dz.U. 2020 z dnia 31 grudnia 2020 r., poz. 2437) . Wobec powyższego, Izba orzekła o dokonaniu zwrotu na rzecz Odwołującego z rachunku bankowego Urzędu Zamówień Publicznych 90% kwoty uiszczonej tytułem należnego wpisu od odwołania.