Wyrok KIO 4372/26 z 25 września 2026 r.

Uzasadnienie

Zamawiający Gmina Mikołów (dalej: „Zamawiający”), prowadzi z zastosowaniem przepisów ustawy z 11 września 2019 r. prawo zamówień publicznych (Dz. U. z 2026 r. poz. 793 dalej: „ustawa Pzp”) w trybie przetargu nieograniczonego postępowanie o udzielenie zamówienia publicznego pn. : „Uruchomienie usług wraz z migracją środowiska informatycznego oraz utrzymanie infrastruktury informatycznej dla Systemów Informacji Przestrzennej Gminy Mikołów, Miasta Łaziska Górne, Gminy Ornontowice, w infrastrukturze chmurowej Wykonawcy”. Wartość szacunkowa zamówienia jest poniżej progów unijnych. Ogłoszenie o zamówieniu ukazało się w Biuletynie Zamówień Publicznych z dnia 7 maja 2026 r. pod nr 2026/BZP 00232831/01

2 września 2026 roku do Prezesa Krajowej Izby Odwoławczej w Warszawie, w przedmiotowym postępowaniu na podstawie art. 505 ust. 1 ustawy Pzp odwołanie (sygn. akt: KIO 4372/26) złożył wykonawca POLCOM ITS POLSKA Sp. z o.o. z siedzibą w Skawinie (dalej: „Odwołujący”).

Odwołanie złożono od:

1. niezgodnej z przepisami ustawy Pzp czynności wyboru oferty wykonawcy Atman Sp. z o.o. (dalej: „Atman”) jako najkorzystniejszej;

2. niezgodnej z przepisami ustawy Pzp czynności oceny oferty Odwołującego w zakresie kryterium „Certyfikat” i przyznanie 0 punktów w tym kryterium, pomimo iż oferta Odwołującego powinna otrzymać 10 punktów w kryterium „Certyfikat”.

Zarzuty i żądania odwołania

Odwołujący zarzucił Zamawiającemu naruszenie następujących przepisów: - art. 239 ust. 1 ustawy Pzp w zw. z art. 16 pkt 1 ustawy Pzp - poprzez nieprawidłową ocenę oferty Odwołującego na skutek przyznania ofercie 0 punktów w kryterium „Certyfikat”, pomimo iż oferta Odwołującego powinna otrzymać 10 punktów w kryterium „Certyfikat”.

Odwołujący wnosił uwzględnienie niniejszego odwołania i nakazanie Zamawiającemu:

1. Unieważnienia czynności oceny ofert.

2. Unieważnienia czynności wyboru oferty najkorzystniejszej.

3. Ponowną ocenę ofert.

4. Przyznanie ofercie Odwołującego 10 punktów w kryterium „Certyfikat”.

Odwołujący wskazał, że posiada interes we wniesieniu odwołania, Zamawiający dokonał istotnych czynności z naruszeniem przepisów ustawy Pzp, na skutek czego Odwołujący stracił szansę na uzyskanie zamówienia. Odwołujący podniósł,że gdyby Zamawiający nie naruszył wskazanych przepisów prawa, to oferta Odwołującego uzyskałaby 100 punktów i byłaby ofertą najkorzystniejszą.

Odwołanie zostało wniesione z zachowaniem ustawowego terminu określonego w art. 515 ust. 1 pkt 2 lit. a) ustawy Pzp. Informację stanowiącą podstawę do wniesienia odwołania Odwołujący uzyskał 28 sierpnia 2026 r. – Informacja o ponownym wyborze oferty. W związku z powyższym odwołanie wniesione 2 września 2026 r. należy uznać za wniesione w wymaganym zgodnie z ustawą Pzp terminie.

Wpis od odwołania w kwocie 7 500,00 złotych (siedem tysięcy pięćset złotych zero groszy) został uiszczony przelewem na rachunek bankowy Urzędu Zamówień Publicznych. Odwołujący prawidłowo przekazał kopię odwołania Zamawiającemu oraz załączył potwierdzenie przekazania odwołania Zamawiającemu.

7 września 2026 r. Zamawiający złożył pisemną odpowiedź na odwołanie, w której wnosił o:

1. oddalenie odwołania w całości jako bezzasadnego,

2. zasądzenie od Odwołującego na rzecz Zamawiającego kosztów postępowania odwoławczego, w tym kosztów zastępstwa procesowego według norm przepisanych.

Po przeprowadzeniu rozprawy z udziałem stron i uczestnika postępowania, na podstawie zgromadzonego w sprawie materiału dowodowego oraz oświadczeń, a także stanowisk stron i uczestnika postępowania, Krajowa Izba Odwoławcza ustaliła i zważyła, co następuje:

Izba stwierdziła, że w zakresie zarzutów podniesionych w odwołaniu nie została wypełniona żadna z przesłanek skutkujących odrzuceniem odwołania , odwołanie nie zawierało braków formalnych i mogło zostać rozpoznane merytorycznie.

Ustalenia Izby

Izba ustaliła, że wykonawca wnoszący odwołanie wykazał interes w korzystaniu ze środków ochrony prawnej. Interes we wniesieniu odwołania wynika z faktu, iż w przypadku uwzględnienia zarzutów podniesionych w odwołaniu, oferta Odwołującego uplasuje się na pierwszym miejscu w rankingu ofert, w związku z czym będzie on miał szansę na uzyskanie zamówienia.

Przystąpienie do postępowania odwoławczego po stronie zamawiającego w ustawowym terminie zgłosił wykonawca Atman Sp. z o.o. z siedzibą w Warszawie. Strony nie zgłosiły opozycji ani zastrzeżeń co do skuteczności przystąpienia tego wykonawcy do postępowania odwoławczego po stronie zamawiającego. Izba stwierdziła skuteczność przystąpienia wykonawcy Atman Sp. z o.o. z siedzibą w Warszawie (dalej również: „Przystępujący”) do udziału w postępowaniu odwoławczym po stronie zamawiającego.

Izba postanowiła dopuścić dowody z dokumentacji przedmiotowego postępowania, odwołania wraz z załącznikami, odpowiedzi na odwołanie wraz z załącznikami złożonej przez Zamawiającego, oświadczenia o przystąpieniu do postępowania odwoławczego zawierającego jednocześnie stanowisko Przystępującego.

Biorąc pod uwagę stanowiska Stron i uczestnika postępowania oraz zgromadzony materiał dowodowy, Izba uznała, że odwołanie nie zasługiwało na uwzględnienie i podlegało oddaleniu.

W zakresie podniesionych zarzutów w oparciu o dokumentację postępowania, odwołanie, odpowiedź na odwołanie oraz oświadczenie o przystąpieniu do postępowania odwoławczego Izba ustaliła następujący stan faktyczny:

Zamawiający prowadzi w trybie przetargu nieograniczonego postępowanie o udzielenie zamówienia publicznego pn.: „Uruchomienie usług wraz z migracją środowiska informatycznego oraz utrzymanie infrastruktury informatycznej dla Systemów Informacji Przestrzennej Gminy Mikołów, Miasta Łaziska Górne, Gminy Ornontowice, w infrastrukturze chmurowej Wykonawcy”.

Zgodnie z rozdziałem XXII SWZ:

„XXII. PRZEDMIOTOWE ŚRODKI DOWODOWE

1. Zamawiający żąda złożenia wraz z ofertą przedmiotowych środków dowodowych.

2. W celu potwierdzenia zgodności oferowanych usług z wymaganiami, cechami lub kryteriami oceny ofert, zamawiający może żądać od wykonawców złożenia certyfikatu wydanego przez jednostkę oceniającą zgodność lub sprawozdania z badań przeprowadzonych przez tę jednostkę.

3. Przedmiotowym środkiem dowodowym, który należy złożyć wraz z ofertą, jest kopia certyfikatu Zarządzania Bezpieczeństwem Informacji wg ISO/IEC 27001, potwierdzona za zgodność z oryginałem (podpisana elektronicznie).

4. Obowiązek złożenia certyfikatu dotyczy wyłącznie wykonawcy, który w ramach kryteriów oceny ofert zadeklaruje posiadanie aktualnego certyfikatu Zarządzania Bezpieczeństwem Informacji wg ISO/IEC 27001.

5. W przypadku braku złożenia certyfikatu zamawiający przyzna w tym kryterium 0 punktów.

6. Zamawiający akceptuje odpowiednie przedmiotowe środki dowodowe, inne niż te, o których mowa w ust. 2 i 5, w szczególności dokumentację techniczną producenta, w przypadku gdy dany wykonawca nie ma ani dostępu do certyfikatów lub sprawozdań z badań, o których mowa w ust. 2 i 5, ani możliwości ich uzyskania w odpowiednim terminie, o ile ten brak dostępu nie może być przypisany danemu wykonawcy, oraz pod warunkiem że dany wykonawca udowodni, że wykonywane przez niego usługi spełniają wymagania, cechy lub kryteriów oceny ofert, lub wymagania związane z realizacją zamówienia.

7. Zamawiający nie wzywa do uzupełnienia/wyjaśnienia przedmiotowych środków dowodowych.

8. Zamawiający odrzuci ofertę, jeśli wykonawca nie złożył wymaganych przedmiotowych środków dowodowych, które potwierdzają zgodność oferty z opisem przedmiotu zamówienia lub ich treść nie będzie zgodna z warunkami przedmiotu zamówienia.” Zgodnie z rozdziałem XVII SWZ:

„XVII. OPIS KRYTERIÓW OCENY OFERT, WRAZ Z PODANIEM WAG TYCH KRYTERIÓW I SPOSOBU OCENY OFERT

1. Przy wyborze najkorzystniejszej oferty zamawiający będzie się kierował następującymi kryteriami oceny ofert:

Łączna cena oferty brutto – waga 60 pkt Kryteria pozacenowe – waga 40 pkt Zamawiający oceni i porówna jedynie oferty, które nie zostaną odrzucone.

2. Kryteria oceny ofert:

a) cena – 60 pkt

b) kryteria pozacenowe jakościowe – 40 pkt

• dysponowanie środowiskiem opartym na OpenStack - 25 pkt (TAK – 25 pkt, NIE – 0 pkt), lub dysponowanie inną platformą równoważną tj. Microsoft Azure / Azure Stack, Amazon Web Services (AWS) Google Cloud Platform (GCP) (wskazać nazwę) ...................... – 10 pkt (przy wskazaniu 1, 2 lub 3 powyżej – 10 pkt, inna 0 pkt)

• posiadanie aktualnego certyfikatu Zarządzania Bezpieczeństwem Informacji wg ISO/IEC 27001 - waga 10 pkt (TAK – 10 pkt NIE - 0 pkt) (przypadku braku złożenia certyfikatu zamawiający przyzna w tym kryterium 0 punktów) UWAGA!!! Certyfikat jest przedmiotowym środkiem dowodowym – Wykonawca ma obowiązek zapoznać się z rozdz. XXII SWZ Obowiązek złożenia certyfikatu dotyczy wyłącznie: wykonawcy, który w ramach kryteriów oceny ofert zadeklaruje posiadanie aktualnego certyfikatu Zarządzania Bezpieczeństwem Informacji wg ISO/IEC 27001 – wymagane na etapie składania ofert

• odległość pomiędzy budynkami Data Center dla przechowywania danych zamawiającego wynosi minimum 5 km - 5 pkt (TAK – 5 pkt NIE - 0 pkt) w formularzu oferty oferent poda dokładny adres lokalizacji tych budynków W przypadku twierdzącej odpowiedzi, ale braku wskazania adresu lokalizacji budynków zamawiający przyzna w tym kryterium 0 punktów.” 25 maja 2026 r. Zamawiający działając w trybie art. 223 ust. 1 ustawy Pzp wezwał Odwołującego do złożenia wyjaśnień przedstawionego wraz z ofertą Certyfikatu, wystawionego przez ZAJ Zespół Audytorów Jakości. W wezwaniu Zamawiający wskazał:

„W toku badania i oceny ofert Zamawiający stwierdził, iż złożony wraz z ofertą dokument budzi wątpliwości interpretacyjne w zakresie:

• uprawnień firmy ZAJ Zespół Audytorów Jakości do wystawienia certyfikatu,

• zakresu certyfikatu,

• przebiegu procesu recertyfikacji.

W związku z powyższym Zamawiający wymaga odpowiedzi na poniższe pytania:

1. Kto wystawił pierwszy certyfikat datowany na dzień 10.06.2022 r.?

2. Proszę wyjaśnić status podmiotu dokonującego recertyfikacji, tj. ZAJ – Zespół Audytorów Jakości, w szczególności poprzez wskazanie, czy podmiot ten stanowi jednostkę oceniającą zgodność w rozumieniu przepisów ustawy z dnia 13 kwietnia 2016 r. o systemach oceny zgodności i nadzoru rynku (tj. Dz. U. 2025.568) oraz wskazać:

1) czy podmiot ten działa jako jednostka certyfikująca,

2) na jakiej podstawie wykonuje działalność certyfikacyjną w zakresie systemów zarządzania bezpieczeństwem informacji ISO/IEC 27001,

3) czy posiada akredytacje lub inne uprawnienia odnoszące się do certyfikacji systemów zarządzania, w tym ewentualnie akredytacje EA/IAF (np. PCA, UKAS, DAkkS, ANAB, SNAS lub równoważne).

3. Jak przebiegał proces recertyfikacji, jakie czynności audytowe zostały przeprowadzone w ramach tego procesu? Należy przedstawić dokumenty celem udowodnienia, że proces recertyfikacji zastał przeprowadzony rzetelnie, a nie sprowadzał się do wystawienia finalnego dokumentu przez firmę ZAJ Zespół Audytorów Jakości.

4. Jaki jest dokładny zakres certyfikacji wynikający ze złożonego dokumentu.

5. Zamawiający wzywa również do wyjaśnienia statusu podmiotu wystawiającego przedłożony certyfikat,.

Zamawiający wskazuje, iż z publicznie dostępnych informacji wynika, że ZAJ – Zespół Audytorów Jakości prezentuje się przede wszystkim jako firma wdrożeniowo-doradcza, audytorzy, konsultanci ISO, zajmująca się wdrażaniem i audytowaniem. Na stronie www.audytorzy.pl nie ma żadnej informacji, że firma jest jednostką certyfikującą.

Przedmiot zamówienia obejmuje usługi Data Center związane z przetwarzaniem danych urzędu, co wiąże się z koniecznością zapewnienia odpowiedniego poziomu bezpieczeństwa informacji. Z tego względu Zamawiający przewidział w ramach kryteriów oceny ofert posiadanie aktualnego certyfikatu ISO/IEC 27001, celem potwierdzenia funkcjonowania systemu zarządzania bezpieczeństwem informacji. Żądanie przedstawienia niniejszego certyfikatu nie było bezzasadne.

W ocenie Zamawiającego dokument potwierdzający spełnienie ww. kryterium powinien umożliwiać weryfikację, że został wydany w ramach formalnego procesu certyfikacji przeprowadzonego przez podmiot wykonujący działalność certyfikacyjną i jest wiarygodnym potwierdzeniem funkcjonowania systemu bezpieczeństwa informacji. Certyfikat powinien mieć rzeczywistą wartość dowodową i pochodzić z wiarygodnego procesu certyfikacji. Dokument wystawiony przez podmiot konsultingowo-audytowy, bez statusu jednostki certyfikującej, nie realizuje celu postawionego w warunku.

Zamawiający wzywa do wyjaśnienia statusu podmiotu wystawiającego przedłożony certyfikat, w szczególności poprzez wskazanie, czy podmiot ten stanowi jednostkę oceniającą zgodność w rozumieniu przepisów ustawy Pzp oraz na jakiej podstawie wykonuje działalność certyfikacyjną w zakresie systemów zarządzania bezpieczeństwem informacji ISO/IEC 27001.

Powyższe wezwanie ma charakter wyjaśniający i nie stanowi wezwania do uzupełnienia lub zmiany dokumentu złożonego wraz z ofertą.” 28 maja 2026 r. Odwołujący złożył wyjaśnienia wskazują m.in.:

„Oferent potwierdza, że wraz z ofertą złożył certyfikat wydany przez ZAJ (Zespół Audytorów Jakości).

Oferent w pełni podtrzymuje oświadczenie, że certyfikat ten został wydany w następstwie rzetelnie przeprowadzonego audytu certyfikacyjnego, w oparciu o plan audytu oraz przy zachowaniu wszystkich wytycznych wymaganych dla certyfikacji systemu zarządzania bezpieczeństwem informacji zgodnie z normą ISO/IEC 27001.

Zgodnie z art. 223 ust. 1 zdanie pierwsze Pzp w toku badania i oceny ofert Zamawiający może żądać od wykonawców wyjaśnień dotyczących treści złożonych ofert oraz przedmiotowych środków dowodowych. Zdanie drugie tego przepisu zakazuje natomiast prowadzenia negocjacji oraz dokonywania jakiejkolwiek zmiany w treści oferty. Oferent oświadcza, że niniejszym pismem nie zmienia treści złożonej oferty, jak również nie uzupełnia, nie zmienia ani nie zastępuje przedmiotowego środka dowodowego złożonego wraz z ofertą. Certyfikat wydany przez ZAJ (Zespół Audytorów Jakości) pozostaje złożony i w pełni podtrzymany. Pozostałe dokumenty załączone do niniejszego pisma mają charakter wyłącznie wyjaśniający oraz dowodowy i służą potwierdzeniu okoliczności faktycznej objętej kryterium oceny ofert, tj. funkcjonowania u Oferenta systemu zarządzania bezpieczeństwem informacji certyfikowanego na zgodność z normą ISO/IEC 27001, co pozostaje w pełnej zgodzie z zastrzeżeniem samego Zamawiającego zawartym w wezwaniu.

W zakresie, w jakim postanowienia SWZ wymagały posiadania aktualnego certyfikatu ISO/IEC 27001 w celu potwierdzenia funkcjonowania systemu zarządzania bezpieczeństwem informacji, nie wprowadzając wymogu, aby jednostka certyfikująca legitymowała się określoną akredytacją Oferent wskazuje, że ocena ofert dokonywana jest w granicach wyznaczonych treścią SWZ.

Doczytywanie na etapie oceny ofert wymogu nieprzewidzianego wprost w SWZ pozostawałoby w sprzeczności z zasadami uczciwej konkurencji oraz przejrzystości, wyrażonymi w art. 16 Pzp.

Niezależnie od powyższego, dążąc do ułatwienia i przyspieszenia weryfikacji po stronie Zamawiającego, Oferent przedkłada dodatkowo certyfikat akredytowany wydany w tym samym zakresie oraz dokumenty potwierdzające status jednostki, która go wydała.

Odnosząc się do poszczególnych pytań Zamawiającego, Oferent wyjaśnia, co następuje.

1. Certyfikat złożony wraz z ofertą został wydany przez ZAJ (Zespół Audytorów Jakości) w ramach procesu certyfikacji i recertyfikacji systemu zarządzania bezpieczeństwem informacji Oferenta.

Oferent podtrzymuje, że proces ten, obejmujący zarówno certyfikację, jak i recertyfikację, przeprowadzony został rzetelnie, na podstawie planu audytu oraz wytycznych normy ISO/IEC 27001. Jednocześnie, w celu jednoznacznego i niezależnie weryfikowalnego potwierdzenia okoliczności objętej kryterium, Oferent przedkłada dodatkowy certyfikat akredytowany (Załącznik nr 1), omówiony w punktach poniżej.

2. Certyfikacja systemu zarządzania bezpieczeństwem informacji według normy ISO/IEC 27001 stanowi dobrowolną ocenę zgodności prowadzoną na zasadach określonych w normie ISO/IEC 17021-1. Właściwym potwierdzeniem kompetencji jednostki certyfikującej w tym obszarze jest akredytacja na zgodność z normą ISO/IEC 17021-1, udzielona przez jednostkę akredytującą będącą sygnatariuszem porozumienia o wzajemnym uznawaniu IAF MLA. Reżim ustawy z dnia 13 kwietnia 2016 r. o systemach oceny zgodności i nadzoru rynku, w tym instytucje autoryzacji i notyfikacji oraz pojęcie jednostki notyfikowanej, odnosi się do oceny zgodności wyrobów wprowadzanych do obrotu, a nie do dobrowolnej certyfikacji systemów zarządzania.

Polskie Centrum Akredytacji pełni w tym systemie rolę krajowej jednostki akredytującej, przy czym akredytacja jednostki certyfikującej ISO/IEC 27001 może zostać udzielona przez każdą równoważną jednostkę akredytującą będącą sygnatariuszem IAF MLA. Jednostka, która wydała przedkładany certyfikat akredytowany, tj. MS Certification Services Pvt. Ltd. (MS CERT), działa jako jednostka certyfikująca systemy zarządzania (Management System Certification Body), wykonuje działalność certyfikacyjną w zakresie ISO/IEC 27001 na podstawie akredytacji udzielonej przez International Accreditation Service (IAS) na zgodność z normą ISO/IEC 17021-1:2015; posiada akredytację IAS o numerze MSCB-240, której zakres obejmuje systemy zarządzania bezpieczeństwem informacji (Information Security Management Systems) według ISO/IEC 27001. IAS jest jednostką akredytującą będącą sygnatariuszem IAF MLA, a zatem o statusie równoważnym względem jednostek wskazanych przez Zamawiającego (PCA, UKAS, DAkkS, ANAB).

3. Oferent podtrzymuje, że proces certyfikacji i recertyfikacji prowadzony był rzetelnie, na podstawie planu audytu i wytycznych ISO. Mając jednak na uwadze potrzebę zapewnienia Zamawiającemu szybkiej i pewnej weryfikacji, Oferent przedkłada ścieżkę akredytowaną: certyfikat MS CERT (Załącznik nr 1), certyfikat akredytacji IAS nr MSCB-240 wraz z integralnym zakresem akredytacji (Załącznik nr 2), pismo jednostki certyfikującej wskazujące organ akredytujący, numer oraz zakres akredytacji (Załącznik nr 3). Weryfikacja tą drogą jest pewniejsza i szybsza, ponieważ opiera się na publicznie dostępnych, niezależnych rejestrach jednostki akredytującej, a nie na dokumentach wewnętrznych pojedynczego audytu.

Określony certyfikatem zakres, obejmujący przetwarzanie danych oraz usługi przetwarzania w chmurze na bazie centrów przetwarzania danych, odpowiada wprost przedmiotowi zamówienia, który obejmuje usługi Data Center związane z przetwarzaniem danych. Certyfikat nosi numer ITA/PL/ISMS/00059, został wydany w dniu 9 października 2025 r. i jest ważny do dnia 8 października 2028 r. Wszystkie powyższe okoliczności podlegają niezależnej weryfikacji w publicznie dostępnych rejestrach: w bazie jednostki akredytującej IAS (www.iasonline.org) oraz w wykazach systemu wzajemnego uznawania (iaf.nu, w tym baza IAF CertSearch dostępna pod adresem www.iafcertsearch.org). Ważność samego certyfikatu można zweryfikować pod numerem ITA/PL/ISMS/00059, a także przy użyciu kodu QR zamieszczonego na certyfikacie.

Mając na uwadze powyższe, Oferent podtrzymuje treść złożonej oferty bez jakichkolwiek zmian.

Przedłożone wraz z niniejszym pismem dokumenty mają charakter wyłącznie wyjaśniający oraz dowodowy i potwierdzają niezmienną okoliczność faktyczną objętą kryterium oceny ofert, tj. funkcjonowanie u Oferenta systemu zarządzania bezpieczeństwem informacji certyfikowanego na zgodność z normą ISO/IEC 27001. W ocenie Oferenta zaproponowana ścieżka weryfikacji, oparta na certyfikacie akredytowanym oraz publicznych rejestrach jednostki akredytującej, pozwala Zamawiającemu na szybkie i pewne potwierdzenie spełnienia kryterium. Gdyby jednak Zamawiający uznał przedstawione wyjaśnienia za niewystarczające, Oferent deklaruje gotowość przedłożenia dodatkowych wyjaśnień odnoszących się bezpośrednio do certyfikatu wydanego przez ZAJ (Zespół Audytorów Jakości). W takim przypadku Oferent wnosi o wyznaczenie dodatkowego terminu, wynoszącego 14 dni od dnia otrzymania informacji o uznaniu złożonych wyjaśnień oraz przedmiotowych środków dowodowych za niewystarczające, na złożenie kompletu dokumentów. Wydłużenie terminu jest niezbędne z uwagi na konieczność pozyskania stosownych oświadczeń oraz pozostałych środków dowodowych od jednostki certyfikującej.” 29 czerwca 2026 r. Zamawiający poinformował wykonawców o dokonaniu wyboru oferty Przystępującego jako najkorzystniejszej. Oferta Odwołującego w kryterium Certyfikat uzyskała 0 pkt Z decyzją Zamawiającego nie zgodził się Odwołujący składając odwołanie, w którym zarzucił Zamawiającemu naruszenie następujących przepisów:

„Zarzut 1: Naruszenie art. 253 ust. 1 pkt 1 PZP w związku z art. 16 PZP poprzez zaniechanie poinformowania wykonawców o podstawach faktycznych oceny ofert, tj. zaniechanie podania w informacji o wyborze oferty najkorzystniejszej podstawy faktycznej przyznania Odwołującemu 0 punktów w kryterium „Certyfikat”.

Zarzut nr 2

Zarzut 2. Zarzut ewentualny na wypadek nieuwzględnienia Zarzutu 1- Naruszenie art. 239 ust. 1 PZP w zw. z art. 16 pkt 1 PZP - poprzez nieprawidłową ocenę oferty Odwołującego na skutek przyznania ofercie 0 punktów w kryterium „Certyfikat”, pomimo iż oferta Odwołującego powinna otrzymać 10 punktów w kryterium „Certyfikat”.

Zarzut nr 3

Zarzut 3. Zarzut ewentualny na wypadek nieuwzględnienia Zarzutu 2 - Naruszenie art. 128 ust. 5 PZP w zw. z art. 16 pkt 1 PZP - poprzez zaniechanie wystąpienia do wystawcy certyfikatu złożonego wraz z ofertą przez Odwołującego o informacje potwierdzające autentyczność certyfikatu.” 11 sierpnia 2026 r. Krajowa Izba Odwoławcza wyrokiem orzekła, że:

„1. Umarza postępowanie odwoławcze w zakresie zarzutu naruszenia art. 128 ust. 5 ustawy Pzp w zw. z art. 16 pkt 1 ustawy Pzp wobec jego wycofania.

2. Uwzględnia odwołanie w zakresie zarzutu naruszenia art. 253 ust. 1 pkt 1 ustawy Pzp w zw. z art. 16 ustawy Pzp i nakazuje Zamawiającemu unieważnienie czynności z 29 czerwca 2026 r. mającej za przedmiot wybór oferty najkorzystniejszej wraz z informacją o przyznanej wykonawcom punktacji w kryteriach oceny ofert oraz nakazuje powtórzenie czynności badania i oceny ofert, a w przypadku dokonania ponownej czynności wyboru oferty najkorzystniejszej nakazuje zawiadomienie wykonawców o tej czynności zgodnie z art. 253 ust. 1 pkt 1) ustawy Pzp, (…)” 28 sierpnia 2026 r. o godz. 11:05 Zamawiający poinformował wykonawców, że w związku z wyrokiem Krajowej Izby Odwoławczej z dnia 11 sierpnia 2026 r., sygn. akt KIO 3262/26, który wpłynął do Zamawiającego w dniu 25 sierpnia 2026 r., informuje o: - unieważnieniu czynności wyboru oferty najkorzystniejszej dokonanej w dniu 29 czerwca 2026 r.; - ponownym przeprowadzeniu czynności badania i oceny ofert, w zakresie wynikającym z ww. wyroku Krajowej Izby Odwoławczej.

28 sierpnia 2026 r. o godz. 19:51 Zamawiający poinformował wykonawców o ponownym wyborze oferty Przystępującego jako najkorzystniejszej. Odwołujący ponownie w kryterium Certyfikat otrzymał 0 pkt W uzasadnieniu Zamawiający wskazał, że Odwołujący uzyskał łącznie 90,00 pkt, w tym:

„Cena – 60,00 pkt – oferta Wykonawcy zawierała najniższą cenę spośród ocenianych ofert, wobec czego zgodnie z zasadami określonymi w SWZ przyznano 60,00 pkt;

Dysponowanie środowiskiem opartym na OpenStack – 25,00 pkt – Wykonawca zadeklarował w Formularzu Ofertowym, że dysponuje środowiskiem chmurowym opartym na platformie OpenStack, wobec czego zgodnie z SWZ przyznano 25,00 pkt;

Posiadanie aktualnego certyfikatu Zarządzania Bezpieczeństwem Informacji wg ISO/IEC 27001 – 0,00 pkt – zgodnie z SWZ Zamawiający wskazał:

„W celu potwierdzenia zgodności oferowanych usług z wymaganiami, cechami lub kryteriami oceny ofert, zamawiający może żądać od wykonawców złożenia certyfikatu wydanego przez jednostkę oceniającą zgodność lub sprawozdania z badań przeprowadzonych przez tę jednostkę.” Powyższe postanowienie SWZ (rozdz. XXII) stanowiło implementację regulacji art. 105 ustawy Pzp, określającej zasady posługiwania się przez Zamawiającego certyfikatami oraz sprawozdaniami z badań jako przedmiotowymi środkami dowodowymi, w tym wymagania dotyczące podmiotu, który taki certyfikat lub sprawozdanie wydaje.

Jednocześnie w ramach kryteriów oceny ofert Zamawiający określił: „posiadanie aktualnego certyfikatu Zarządzania Bezpieczeństwem Informacji wg ISO/IEC 27001 – waga 10 pkt (TAK – 10 pkt, NIE – 0 pkt)” oraz wskazał: „w przypadku braku złożenia certyfikatu zamawiający przyzna w tym kryterium 0 punktów”.

Powyższe postanowienia SWZ należało stosować łącznie. Sformułowanie „może żądać” odnosi się do uprawnienia Zamawiającego do żądania przedmiotowego środka dowodowego w postaci certyfikatu wydanego przez jednostkę oceniającą zgodność, natomiast zapis dotyczący już samego kryterium określa zasady przyznawania punktów za posiadanie i złożenie takiego certyfikatu.

Wykonawca POLCOM ITS POLSKA Sp. z o.o. wraz z ofertą przedłożył dokument oznaczony jako certyfikat Zarządzania Bezpieczeństwem Informacji wg ISO/IEC 27001, wystawiony przez Zespół Audytorów Jakości (ZAJ).

W toku badania oferty Zamawiający powziął wątpliwości dotyczące statusu podmiotu wystawiającego certyfikat złożony wraz z ofertą. Z treści przedłożonego dokumentu nie wynikały informacje pozwalające na ustalenie podstaw akredytacji podmiotu certyfikującego, a przeprowadzona przez Zamawiającego weryfikacja ogólnodostępnych rejestrów jednostek akredytowanych nie pozwoliła na potwierdzenie statusu Zespołu Audytorów Jakości (ZAJ) jako jednostki akredytowanej.

W związku z powziętymi wątpliwościami Zamawiający zwrócił się do Wykonawcy o wyjaśnienie przedłożonego certyfikatu. Należy przy tym wskazać, że Zamawiający, pomimo zastrzeżenia zawartego w SWZ, zgodnie z którym nie przewidywał wzywania Wykonawców do wyjaśnienia tego dokumentu, zdecydował się w toku badania oferty umożliwić Wykonawcy wyjaśnienie powziętych wątpliwości dotyczących certyfikatu złożonego wraz z ofertą.

Wezwanie do wyjaśnień miało na celu umożliwienie Wykonawcy doprecyzowania i wyjaśnienia dokumentu złożonego wraz z ofertą, w szczególności w zakresie dotyczącym podmiotu, który wystawił certyfikat ZAJ, oraz wykazania okoliczności pozwalających na uznanie tego podmiotu za jednostkę oceniającą zgodność, o której mowa w art. 105 ust. 2 ustawy Pzp.

Tym samym Wykonawca miał możliwość przedstawienia informacji i dokumentów dotyczących konkretnie certyfikatu ZAJ złożonego wraz z ofertą, pozwalających na usunięcie wątpliwości Zamawiającego co do tego dokumentu.

Wykonawca w złożonych wyjaśnieniach nie przedstawił dokumentów ani informacji pozwalających potwierdzić status Zespołu Audytorów Jakości (ZAJ) jako jednostki oceniającej zgodność w odniesieniu do certyfikatu złożonego wraz z ofertą. Jednocześnie w ramach złożonych wyjaśnień Wykonawca przedstawił informacje oraz dokument dotyczący innego certyfikatu, wystawionego przez MS Certification Services Pvt. Ltd.

Dokument ten dotyczył zatem innego certyfikatu oraz innego podmiotu wystawiającego certyfikat niż dokument przedłożony wraz z ofertą przez POLCOM ITS POLSKA Sp. z o.o. W konsekwencji informacje dotyczące MS Certification Services Pvt. Ltd. nie stanowiły wyjaśnienia ani potwierdzenia statusu Zespołu Audytorów Jakości (ZAJ), który wystawił certyfikat złożony wraz z ofertą.

Zamawiający, dokonując oceny przedłożonego dokumentu oraz uwzględniając treść złożonych wyjaśnień, stwierdził, że nie został wykazany status ZAJ jako jednostki oceniającej zgodność w odniesieniu do certyfikatu złożonego wraz z ofertą, a tym samym nie zostały potwierdzone okoliczności pozwalające na uznanie tego dokumentu za certyfikat stanowiący podstawę przyznania punktów w przedmiotowym kryterium.

Zgodnie z art. 105 ust. 2 ustawy Pzp przez jednostkę oceniającą zgodność należy rozumieć jednostkę wykonującą działalność w zakresie oceny zgodności, w tym certyfikacji, akredytowaną zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (WE) nr 765/2008 lub przepisami równoważnymi.

W tym miejscu należy również wskazać, że jeżeli po stronie Wykonawcy istniały wątpliwości co do znaczenia lub sposobu rozumienia postanowień SWZ dotyczących certyfikatu stanowiącego podstawę przyznania punktów, Wykonawca miał możliwość zwrócenia się do Zamawiającego o wyjaśnienie treści SWZ w toku postępowania, przed upływem terminu składania ofert.

Wykonawca nie zwrócił się do Zamawiającego o wyjaśnienie tych postanowień SWZ przed upływem terminu składania ofert. Brak pytań lub wątpliwości zgłaszanych przez Wykonawcę na etapie prowadzenia postępowania potwierdzał po stronie Zamawiającego przekonanie, że sposób opisania wymagań dotyczących certyfikatu jest dla potencjalnych Wykonawców zrozumiały i pozwala na prawidłowe przygotowanie ofert.

Nie można również pominąć, że Wykonawca, jako profesjonalny uczestnik postępowania o udzielenie zamówienia publicznego, zobowiązany jest do dochowania należytej staranności przy przygotowaniu i składaniu oferty, w tym do zapoznania się z treścią SWZ oraz wymaganiami dotyczącymi dokumentów składanych w celu uzyskania punktów w ramach kryteriów oceny ofert. Ewentualne odmienne rozumienie przez Wykonawcę znaczenia wymagań określonych w SWZ nie może prowadzić do przyznania punktów za dokument, który nie potwierdza spełnienia tych wymagań i cech stanowiących podstawę punktacji.

Zamawiający, jako podmiot przygotowujący i prowadzący postępowanie, był świadomy znaczenia postanowień SWZ oraz celu, jakiemu miał służyć wymagany dokument, i w tym przekonaniu dokonał opisu wymagań dotyczących certyfikatu. Jednocześnie, wobec braku jakichkolwiek pytań lub sygnałów ze strony Wykonawców wskazujących na wątpliwości dotyczące charakteru tego dokumentu, Zamawiający nie miał podstaw, aby przewidywać, że wymaganie dotyczące certyfikatu zostanie przez Wykonawcę zrozumiane w sposób prowadzący do przedstawienia dokumentu, który – w ocenie Zamawiającego – nie potwierdza spełnienia wymagań dotyczących certyfikatu w rozumieniu przyjętym w SWZ oraz wynikającym z art. 105 ust. 2 ustawy Pzp.

Wymagania dotyczące dokumentu mającego stanowić podstawę przyznania punktów były zawarte w dokumentacji postępowania dostępnej Wykonawcy przed złożeniem oferty, a ewentualne wątpliwości co do ich znaczenia mogły zostać wyjaśnione przed upływem terminu składania ofert.

Powyższe ma również znaczenie w kontekście dokonanej przez Zamawiającego oceny, ponieważ Zamawiający nie wprowadził na etapie badania i oceny ofert nowych wymagań dotyczących certyfikatu, lecz dokonał oceny dokumentu przedłożonego przez Wykonawcę w świetle postanowień SWZ obowiązujących w chwili składania ofert.

Jednocześnie możliwość złożenia wyjaśnień dotyczących dokumentu przedłożonego wraz z ofertą nie oznaczała możliwości zastąpienia tego dokumentu innym certyfikatem.

W konsekwencji dokument dotyczący certyfikatu wystawionego przez MS Certification Services Pvt. Ltd., przedstawiony dopiero w ramach wyjaśnień, nie mógł zostać potraktowany jako dokument zastępujący certyfikat ZAJ złożony wraz z ofertą ani jako podstawa przyznania punktów w miejsce dokumentu ocenianego na podstawie oferty.

Wykonawca nie wykazał zatem, że certyfikat ZAJ złożony wraz z ofertą spełnia wymagania pozwalające na przyznanie 10 punktów w ramach kryterium „Posiadanie aktualnego certyfikatu Zarządzania Bezpieczeństwem Informacji wg ISO/IEC 27001”.

Co więcej, w sytuacji, w której przedłożony dokument nie potwierdza spełnienia wymagań określonych w SWZ, nie może on stanowić podstawy do przyznania punktów w danym kryterium. W tym znaczeniu skutek oceny takiego dokumentu jest taki sam jak w przypadku braku dokumentu potwierdzającego spełnienie kryterium – brak jest podstaw do przyznania punktów. Zatem przedłożony wraz z ofertą dokument nie mógł stanowić podstawy przyznania 10 punktów w ramach kryterium „Posiadanie aktualnego certyfikatu Zarządzania Bezpieczeństwem Informacji wg ISO/IEC 27001”, gdyż dokument ten nie równał się wymiarowości dokumentu jaki stanowi certyfikat w rozumieniu m.in. ustawy Pzp.

Wykonawcy przyznano w tym kryterium 0,00 pkt.” Z decyzją Zamawiającego nie zgodził się Odwołujący składając 2 września 2026 r. odwołanie od czynności i zaniechań Zamawiającego.

Przedmiotem rozpoznania niniejszej sprawy było ustalenie czy Zamawiający dopuścił się naruszenia przepisów ustawy Pzp poprzez: - nieprawidłową ocenę oferty Odwołującego na skutek przyznania ofercie 0 punktów w kryterium „Certyfikat”, pomimo iż oferta Odwołującego powinna otrzymać 10 punktów w kryterium „Certyfikat”, a w konsekwencji dokonanie wyboru oferty Przystępującego jako njkorzystniejszej.

Zgodnie z art. 239 ust. 1 ustawy Pzp:

„1. Zamawiający wybiera najkorzystniejszą ofertę na podstawie kryteriów oceny ofert określonych w dokumentach zamówienia.”

Zgodnie z art. 16 pkt 1 ustawy Pzp:

„Zamawiający przygotowuje i przeprowadza postępowanie o udzielenie zamówienia w sposób:

1) zapewniający zachowanie uczciwej konkurencji oraz równe traktowanie wykonawców;”

Zgodnie z art. 105 ustawy Pzp:

„1. W celu potwierdzenia zgodności oferowanych robót budowlanych, dostaw lub usług z wymaganiami, cechami lub kryteriami określonymi w opisie przedmiotu zamówienia lub kryteriami oceny ofert, lub wymaganiami związanymi z realizacją zamówienia zamawiający może żądać od wykonawców złożenia certyfikatu wydanego przez jednostkę oceniającą zgodność lub sprawozdania z badań przeprowadzonych przez tę jednostkę.

2. Przez jednostkę oceniającą zgodność rozumie się jednostkę wykonującą działania z zakresu oceny zgodności, w tym kalibrację, testy, certyfikację i kontrolę, akredytowaną zgodnie z rozporządzeniem Parlamentu Europejskiego i Rady (WE) nr 765/2008 z dnia 9 lipca 2008 r. ustanawiającym wymagania w zakresie akredytacji i nadzoru rynku odnoszące się do warunków wprowadzania produktów do obrotu i uchylającym rozporządzenie (EWG) nr 339/93 (Dz.Urz. UE L 218 z 13.08.2008, str. 30).

3. Jeżeli wymagane jest złożenie certyfikatów wydanych przez określoną jednostkę oceniającą zgodność, zamawiający akceptuje również certyfikaty wydane przez inne równoważne jednostki oceniające zgodność.

4. Zamawiający akceptuje odpowiednie przedmiotowe środki dowodowe, inne niż te, o których mowa w ust. 1 i 3, w szczególności dokumentację techniczną producenta, w przypadku gdy dany wykonawca nie ma ani dostępu do certyfikatów lub sprawozdań z badań, o których mowa w ust. 1 i 3, ani możliwości ich uzyskania w odpowiednim terminie, o ile ten brak dostępu nie może być przypisany danemu wykonawcy, oraz pod warunkiem że dany wykonawca udowodni, że wykonywane przez niego roboty budowlane, dostawy lub usługi spełniają wymagania, cechy lub kryteria określone w opisie przedmiotu zamówienia lub kryteriów oceny ofert, lub wymagania związane z realizacją zamówienia.”

W pierwszej kolejności Izba wskazuje, że nie podziela argumentacji Odwołującego dotyczącej konieczności unieważnienia przez Izbę czynności wyboru oferty najkorzystniejszej z uwagi na to, że jest ona obarczona wadą. Izba dostrzega daty złożone zarówno na informacji dotyczącej unieważnienia wyboru oferty najkorzystniejszej, jak również na zawiadomieniu o powtórnym dokonaniu wyboru oferty najkorzystniejszej. Istotne jest jednak to, kiedy informacje odniosły skutek prawny oraz kiedy zostały przekazane wykonawcom. Nie ulega wątpliwości, że zarówno unieważnienie czynności wyboru oferty najkorzystniejszej, jak i ponowny wybór oferty są poprzedzone czynnościami po stronie zamawiającego. Same dokumenty, które są przekazywane wykonawcom stanowią efekt działań podjętych wcześniej przez zamawiającego. Zamawiający poinformował wykonawców o dokonanych czynnościach prawidłowo, Odwołujący nie został pozbawiony przez to możliwości skorzystania ze środków ochrony prawnej, nie można w związku z tym stwierdzić, że czynność jest obarczona wadą.

Odnosząc się do podniesionego w odwołaniu zarzutu Izba wskazuje, że nie podziela stanowiska Odwołującego, że Zamawiający jedynie zacytował w dokumentacji postępowania brzmienie art. 105 ust. 1 ustawy Pzp nie składając oświadczenia, że będzie go stosował. Przepis ten został zamieszczony w rozdziale dotyczącym przedmiotowych środków dowodowych jako odrębna jednostka redakcyjna. W ust. 1 rozdziału XXII SWZ Zamawiający wskazał, że żąda złożenia wraz z ofertą przedmiotowych środków dowodowych. W ust. 2 wskazał na przysługujące mu uprawnienie do żądania od wykonawców złożenia certyfikatu wydanego przez jednostkę oceniającą zgodność lub sprawozdania z badań przeprowadzonych przez tę jednostkę w celu potwierdzenia zgodności oferowanych usług z wymaganiami, cechami lub kryteriami oceny ofert. W ust. 3 tego samego rozdziału Zamawiający dookreślił, że przedmiotowym środkiem dowodowym, który należy złożyć wraz z ofertą, jest kopia certyfikatu Zarządzania Bezpieczeństwem Informacji wg ISO/IEC 27001, potwierdzona za zgodność z oryginałem (podpisana elektronicznie). Zamawiający określił (doprecyzował) o jaki rodzaj certyfikatu chodzi, co nie ograniczało, jak twierdzi Odwołujący brzmienia rozdziału XXII ust. 2 SWZ, w którym wskazano, że certyfikat ma być wydany przez jednostkę oceniającą zgodność. Było to jedynie doprecyzowanie jakiego certyfikatu Zamawiający oczekuje, nie zaś ograniczenie rodzaju żądanego certyfikatu. To, że Zamawiający wymagał certyfikatu wydanego przez jednostkę oceniającą zgodność było zdaniem Izby w przedmiotowym postępowaniu oczywiste. Wydaje się, że nie budziło też wątpliwości Odwołującego, co wynika ze złożonych przez niego 28 maja 2026 r. wyjaśnień oraz załączenia do nich drugiego certyfikatu, tylko wydanego już przez jednostkę oceniającą zgodność. Odwołujący nie skorzystał z przysługujących mu środków ochrony prawnej ani w zakresie treści dokumentacji postępowania dotyczącej przedmiotowych środków dowodowych wymaganych przez Zamawiającego, ani odnośnie treści skierowanego do niego wezwania z 25 maja 2026 r. Odwołujący udzielając odpowiedzi na wezwanie miał świadomość, że złożony wraz z ofertą certyfikat ZAJ nie jest wystawiony przez podmiot akredytowany. Przedłożył on nowy certyfikat co zgodnie z rozdziałem XXII ust. 7 SWZ było niedopuszczalne („Zamawiający nie wzywa do uzupełnienia/wyjaśnienia przedmiotowych środków dowodowych.”). Do wyjaśnień załączył on: certyfikat MS CERT, certyfikat akredytacji IAS nr MSCB-240 wraz z integralnym zakresem akredytacji i pismo jednostki certyfikującej wskazujące organ akredytujący, numer oraz zakres akredytacji. Uzasadnieniem złożenia nowego certyfikatu miało być zapewnienie Zamawiającemu szybkiej i pewnej weryfikacji. Jednocześnie Odwołujący zadeklarował w razie konieczności złożenie dodatkowych wyjaśnień dotyczących certyfikatu wydanego przez ZAJ. Zwrócił się on do Zamawiającego z prośbą o dodatkowe 14 dni na przedłożenie dodatkowych wyjaśnień odnoszących się bezpośrednio do certyfikatu wydanego przez ZAJ. Wskazał on na konieczność pozyskania stosownych oświadczeń oraz pozostałych środków dowodowych od jednostki certyfikującej. Dokumenty te nie zostały złożone do czasu postępowania odwoławczego.

Mając na uwadze powyższe Zamawiający zasadnie przyznał ofercie Odwołującego w kryterium Certyfikat 0 pkt, ponieważ wykonawca ten nie przedłożył dokumentu wymaganego zgodnie z dokumentacją postępowania. W konsekwencji również dokonanie wyboru oferty Przystępującego jako najkorzystniejszej było prawidłowe w związku z czym nie doszło również do naruszenia zasady uczciwej konkurencji i równego traktowania wykonawców, zaś działania podejmowane przez Zamawiającego w oparciu o dokumentację postępowania były zgodne z przepisami ustawy Pzp.

Orzekając o kosztach postępowania odwoławczego orzeczono na podstawie art. 574 oraz art. 575 ustawy Pzp, a także w oparciu o przepisy § 5 pkt 1 w zw. z § 5 pkt 2 lit. b) w zw. z § 8 ust. 2 pkt 1 rozporządzenia Prezesa Rady Ministrów z dnia 30 grudnia 2020 roku w sprawie szczegółowych rodzajów kosztów postępowania odwoławczego, ich rozliczania oraz wysokości i sposobu pobierania wpisu od odwołania (Dz. U. z 2020r., poz. 2437 ze zmianami), orzekając w tym zakresie o obciążeniu kosztami postępowania odwoławczego stronę przegrywającą, czyli Odwołującego.

Wobec powyższego orzeczono, jak w sentencji.