Postanowienie KIO 3862/26 z 11 września 2026 r.

Uzasadnienie

Zamawiający Państwowe Gospodarstwo Wodne Wody Polskie w Warszawie jednostka prowadząca postępowanie: Krajowy Zarząd Gospodarki Wodnej prowadzi z zastosowaniem przepisów ustawy z 11 września 2019 r. prawo zamówień publicznych (Dz. U. z 2026 r. poz. 793 dalej: „ustawa Pzp”) w trybie przetargu nieograniczonego postępowanie pn. „Dzierżawa urządzeń wielofunkcyjnych dla jednostek RZGW w Gdańsku na lata 2026-2029” (numer referencyjny: KAP.270.2.12.2026). Wartość zamówienia jest wyższa niż progi unijne. Ogłoszenie o zamówieniu zostało opublikowane w Dzienniku Urzędowym Unii Europejskiej z 22 czerwca 2026 r. pod numerem nr 426836-2026

6 sierpnia 2026 r. wykonawca Konica Minolta Business Solutions Polska Sp. z o.o. z siedzibą w Warszawie wniósł na podstawie art. 505 ust. 1 w zw. z art. 513 pkt 1 i 2 ustawy Pzp odwołanie ( Sygn. akt: KIO 3862/26) wobec treści SWZ oraz załącznika nr 1 do SWZ – Szczegółowego Opisu Przedmiotu Zamówienia (dalej jako: „OPZ”), tj:

I. następującej treści OPZ - 8. Pozostałe wymagania.

3) Zamawiający, mając na uwadze status podmiotu kluczowego/istotnego w rozumieniu dyrektywy NIS2 oraz konieczność ochrony infrastruktury krytycznej, wymaga, aby oferowane urządzenia wielofunkcyjne posiadały zintegrowane, nowoczesne mechanizmy bezpieczeństwa teleinformatycznego potwierdzone specyfikacją producenta:

• Urządzenie musi wspierać bezpieczne kasowanie/inicjalizację dysku twardego/SSD zgodnie z wytycznymi NIST SP 800-88 (poziom PURGE).

• Ochrona integralności systemu (Secure/Verified Boot): Urządzenie musi posiadać mechanizm weryfikacji integralności oprogramowania układowego (firmware) podczas uruchamiania, zgodny z wytycznymi NIST SP 800-193 (Platform Firmware Resiliency), zapewniający automatyczne wykrywanie zmian oraz funkcję automatycznego przywracania systemu (Automatic System Recovery).

• Wykrywanie intruzów w czasie rzeczywistym (Runtime Intrusion Detection): Urządzenie musi być wyposażone w aktywne mechanizmy ochrony pamięci operacyjnej przed cyberatakami w trakcie pracy (np. technologia Trellix Embedded Control lub równoważna) oraz posiadać certyfikat zgodności z profilem ochrony HCD-PP (Hardcopy Device Protection Profile) Common Criteria.

• Integracja z systemami monitorowania bezpieczeństwa (SIEM/SOC): Urządzenie musi generować zaawansowane logi audytowe (Audit Log) oraz umożliwiać ich automatyczne przekazywanie i współpracę z zewnętrznymi systemami zarządzania zdarzeniami bezpieczeństwa klasy SIEM (Security Information and Event Management) wykorzystując protokoły SYSLOG/TCP/UDP (w tym szyfrowany TCP).

Zarzuty i żądania odwołania

Odwołujący zarzucił Zamawiającemu naruszenie następujących przepisów: - art. 16 pkt 1-3, art. 17 ust. 1 pkt 2 ustawy Pzp, art. 99 ust. 1,2,4,5 poprzez opisanie przedmiotu zamówienia w sposób nieproporcjonalny do wartości i celów przedmiotu zamówienia, naruszający zasady uczciwej konkurencji i równego traktowania wykonawców, w sposób który charakteryzuje produkty konkretnych producentów i narusza zasadę efektywności, wyłącza możliwość złożenia oferty przez wykonawców oferujących rozwiązania inne niż Canon, w tym przez Odwołującego, tzn. poprzez wprowadzenie w odpowiedzi na pytania jednego z wykonawców (zapewne oferującego urządzenia Canon) zmianami do OPZ z dnia 31 lipca 2026 r. szeregu ww. wymagań minimalnych dot. mechanizmów bezpieczeństwa teleinformatycznego, które łącznie spełnić mogą jedynie urządzenia Canon w oparciu o technologię stosowaną przez tego producenta, nie dopuszczając jednocześnie zastosowania rozwiązań równoważnych, z pominięciem przeprowadzenia przed wszczęciem Postępowania analizy potrzeb i wymagań w zakresie dot. bezpieczeństwa urządzeń.

Odwołujący wnosił o nakazanie Zamawiającemu modyfikacji postanowień wskazanych w pkt I, pkt 1) Odwołania, w nast. sposób:

3) Zamawiający, mając na uwadze status podmiotu kluczowego/istotnego w rozumieniu dyrektywy NIS2 oraz konieczność ochrony infrastruktury krytycznej, wymaga, aby oferowane urządzenia wielofunkcyjne posiadały zintegrowane, nowoczesne mechanizmy bezpieczeństwa teleinformatycznego potwierdzone specyfikacją producenta: • Urządzenie musi wspierać bezpieczne kasowanie dysku twardego/SSD uniemożliwiające odzyskanie zapisanych danych po zakończeniu procesu usuwania. Dopuszcza się rozwiązania realizujące wymagania NIST SP 800-88 (poziom PURGE) lub rozwiązania równoważne potwierdzone dokumentacją producenta.

• Urządzenie musi posiadać mechanizm weryfikacji oprogramowania układowego (firmware) podczas uruchamiania. Mechanizm powinien wykorzystywać weryfikację integralności opartą na wartościach hash lub podpisach cyfrowych oraz uniemożliwiać uruchomienie nieautoryzowanego lub zmodyfikowanego oprogramowania układowego albo zapewniać inny równoważny mechanizm reakcji na wykryte naruszenie integralności, w szczególności zablokowanie uruchomienia urządzenia lub przywrócenie bezpiecznego stanu pracy.

• Urządzenie musi posiadać mechanizmy wykrywania prób nieautoryzowanego dostępu lub ataków uwierzytelniających w czasie rzeczywistym, rejestrować takie zdarzenia w logach bezpieczeństwa oraz umożliwiać automatyczne powiadamianie administratora. Urządzenie musi posiadać certyfikat zgodności z profilem ochrony HCD-PP (Hardcopy Device Protection Profile) Common Criteria.

• Urządzenie musi generować zaawansowane logi audytowe (Audit Log) oraz umożliwiać ich automatyczne przekazywanie i współpracę z zewnętrznymi systemami zarządzania zdarzeniami bezpieczeństwa klasy SIEM (Security Information and Event Management), wykorzystując protokoły SYSLOG lub TCP lub UDP (zabezpieczenie komunikacji z zastosowaniem mechanizmów kryptograficznych TLS lub IPsec). Urządzenie powinno wspierać standardowe formaty wymiany logów bezpieczeństwa, takie jak CEF lub LEEF, umożliwiające ich łatwą integrację z systemami SIEM różnych producentów.

Odwołujący wskazał, że posiada interes w złożeniu odwołania, jest zainteresowany udziałem w prowadzonym przez Zamawiającego postępowaniu i zamierza złożyć w nim ofertę, a czynność Zamawiającego polegająca na ukształtowaniu zmianą do OPZ opublikowaną dnia 31 lipca 2026 r. wymagań minimalnych dot. mechanizmów bezpieczeństwa teleinformatycznego nie pozwalają mu złożyć oferty. W związku z tym, aktualne brzmienie skarżonych postanowień określonych w OPZ nie pozwala Odwołującemu w jego ocenie na złożenie oferty w postępowaniu, czego skutkiem może być poniesienie przez Odwołującego szkody w postaci utraty korzyści, jakie osiągnąłby w przypadku uzyskania Zamówienia.

Przystąpienie do postępowania odwoławczego po stronie zamawiającego w ustawowym terminie zgłosił wykonawca DKS Sp. z o.o. z siedzibą w Kowalach. Strony nie zgłosiły opozycji ani zastrzeżeń co do skuteczności przystąpienia tego wykonawcy do postępowania odwoławczego po stronie zamawiającego. Izba stwierdziła skuteczność przystąpienia wykonawcy DKS Sp. z o.o. z siedzibą w Kowalach (dalej również: „Przystępujący”) do udziału w postępowaniu odwoławczym po stronie zamawiającego

21 sierpnia 2026 r. do akt sprawy wpłynęła odpowiedź na odwołanie, w której Zamawiający oświadczył, że wnosi o umorzenie postępowania odwoławczego w związku z wprowadzeniem zmian w dokumentacji postępowania.

8 września 2026 r. do akt sprawy wpłynęło pismo procesowe Odwołującego, w którym oświadczył on, że cofa w całości złożone odwołanie oraz wnosi o zwrot 90% uiszczonego wpisu od odwołania.

10 września 2026 r. do akt sprawy wpłynęło oświadczenie Przystępującego, w którym oświadczył on, że o wnosi sprzeciw wobec uwzględnienia odwołania przez Zamawiającego.

Mając powyższe na uwadze, Izba zważyła i ustaliła, co następuje:

Odwołujący w piśmie procesowym z 8 września 2026 r. złożył oświadczenie o cofnięciu odwołania, które zostało podpisane przez osobę umocowaną do podjęcia tej czynności, a jak stanowi art. 520 ustawy Pzp, odwołujący może cofnąć odwołanie do czasu zamknięcia rozprawy, a cofnięte odwołanie nie wywołuje skutków prawnych, jakie ustawa wiąże z wniesieniem odwołania do Prezesa Izby.

Biorąc pod uwagę powyższe, Izba uznała, że zachodzą podstawy do umorzenia postępowania odwoławczego w oparciu o art. 568 pkt 1 ustawy Pzp, w myśl którego Izba umarza postępowanie odwoławcze, w formie postanowienia, w przypadku cofnięcia odwołania.

Zgodnie z § 9 ust. 1 pkt 3 lit. a rozporządzenia w sprawie szczegółowych rodzajów kosztów postępowania odwoławczego, ich rozliczania oraz wysokości i sposobu pobierania wpisu od odwołania (Dz.U. z 2020 r. poz. 2437):

W przypadku umorzenia postępowania odwoławczego przez Izbę w całości na skutek cofnięcia odwołania przed otwarciem rozprawy najpóźniej w dniu poprzedzającym dzień, na który został wyznaczony termin rozprawy lub posiedzenia z udziałem stron lub uczestników postępowania odwoławczego - odwołującemu zwraca się 90% wpisu; w takim przypadku Izba orzeka o dokonaniu zwrotu odwołującemu z rachunku Urzędu kwoty uiszczonej tytułem wpisu, w wysokości stanowiącej 90% jego wartości.

Wobec powyższego orzeczono, jak w sentencji.