Postanowienie KIO 865/19

Treść orzeczenia

Sygn. akt KIO 865/19 POSTANOWIENIE

z dnia 17 maja 2019 r. Krajowa Izba Odwoławcza - w składzie:

Przewodniczący: Robert Skrzeszewski Magdalena Rams Ewa Sikorska

po rozpoznaniu na posiedzeniu niejawnym bez udziału stron i uczestników postępowania odwoławczego w dniu 17 maja 2019 r. w Warszawie odwołania wniesionego do Prezesa Krajowej Izby Odwoławczej w dniu 10 maja 2019 r. przez wykonawcę TPM Services sp. z o.o. z siedzibą w Warszawie ul. Łopuszańska 32, 02-220 Warszawa w postępowaniu prowadzonym przez Centralny Zarząd Służby Więziennej, ul. Rakowiecka 37A, 02-521 Warszawa

przy udziale wykonawcy T-Mobile Polska S.A. zgłaszającego swoje przystąpienie do postępowania odwoławczego o sygn. akt: KIO 865/19 po stronie Zamawiającego

postanawia:

1. umorzyć postępowanie odwoławcze,

2. nakazuje zwrot z rachunku bankowego Urzędu Zamówień Publicznych na rzecz wykonawcy TPM Services sp. z o.o. z siedzibą w Warszawie ul. Łopuszańska 32, 02- 220 Warszawa kwoty 13 500 zł 00 gr (słownie: trzynaście tysięcy pięćset złotych zero groszy) stanowiącej 90 % uiszczonego wpisu.

Stosownie do art. 198a i 198b ustawy z dnia 29 stycznia 2004 r. - Prawo zamówień publicznych (t.j. Dz. U. z 2018 r., poz. 1986 ze zm.) na niniejsze postanowienie - w terminie 7 dni od dnia jego doręczenia - przysługuje skarga za pośrednictwem Prezesa Krajowej Izby Odwoławczej do Sądu Okręgowego w Warszawie.

Przewodniczący........................ Sygn. akt: KIO 865/19 Uzasadnienie Zamawiający: Centralny Zarząd Służby Więziennej, ul. Rakowiecka 37A, 02-521 Warszawa wszczął postępowanie o udzielenie zamówienia publicznego prowadzone w trybie przetargu nieograniczonego, którego przedmiotem jest „Usługa sieci rozległej WAN wraz z usługami dodatkowymi”, numer referencyjny: 14/19/TK.

Ogłoszenie o zamówieniu zostało opublikowane w dniu 30 kwietnia 2019 r. w Dzienniku Urzędowym Unii Europejskiej pod numerem 2019/ S 084-200399. W tej samej dacie opublikowana została Specyfikacja Istotnych Warunków Zamówienia, zwana dalej SIWZ na stronie internetowej Zamawiającego.

Nie zgadzając się z niektórymi postanowieniami SIWZ Odwołujący: TPM Services sp. z o.o. z siedzibą w Warszawie ul. Łopuszańska 32, 02-220 Warszawa wniósł odwołanie do Prezesa Krajowej Izby Odwoławczej zarzucając Zamawiającemu sformułowanie treści SIWZ w sposób niezgodny z przepisami ustawy z dnia 29 stycznia 2004 r. - Prawo zamówień publicznych (t.j. Dz. U. z 2018 r., poz. 1986 ze zm.), zwanej dalej ustawą Pzp w zakresie:

1.1. sformułowania treści SIWZ - Załącznika nr 1 do umowy - opis przedmiotu zamówienia, zwanego dalej OPZ - punkt 1.2.4, w taki sposób, że zamawiający wymaga, aby wszystkie użyte do świadczenia usługi urządzenia, w tym sprzęt i oprogramowanie, pochodziły z oficjalnego kanału dystrybucji na rynek polski.

1.2. sformułowania treści SIWZ - Załącznika nr 1 do umowy - OPZ w taki sposób, że:

1.2.1. w punkcie 2.1.3 OPZ zamawiający wymaga, że producenci elementów systemu bezpieczeństwa muszą być uwzględniani w zestawieniach Gartner Magie Ouadrant z zakresu bezpieczeństwa sieciowego (typu Enterprise Network Firewalls, Intrusion Prevention Systems, Secure Web Gateways), w okresie, co najmniej trzech ostatnich lat;

1.2.2. w punkcie 2.2.7.2 OPZ zamawiający wymaga, aby urządzenie zapewniało obsługę logicznej segmentacji urządzenia: możliwość alokacji zasobów sprzętowych per instancja;

1.2.3. w punkcie 2.2.8.11 OPZ zamawiający wymaga, aby urządzenie umożliwiało współpracę z serwerami autoryzacji w zakresie przesyłania list kontroli dostępu z serwera do urządzenia z granulacją per użytkownik;

1.2.4. w punkcie 2.2.8.16 OPZ zamawiający wymaga, aby system posiadał możliwość kontekstowego definiowania reguł z wykorzystaniem informacji pozyskiwanych o hostach na bieżąco poprzez pasywne skanowanie;

1.2.5. w punkcie 2.2.8.18.b) OPZ zamawiający wymaga, aby urządzenie pozwalało na tworzenie profili użytkowników korzystających ze wskazanych aplikacji z dokładnością do systemu operacyjnego, z którego korzysta użytkownik oraz wykorzystywanych usług,

1.2.6. w punkcie 2.2.8.18.d) OPZ zamawiający wymaga, aby urządzenie umożliwiało współpracę z otwartym systemem aplikacji pozwalającym administratorowi na skonfigurowanie opisu dowolnej aplikacji i wykorzystanie go do automatycznego wykrywania tejże aplikacji przez system praz na wykorzystanie profilu tej aplikacji w regułach reagowania na zagrożenia oraz w raportach;

1.2.7. w punkcie 2.2.9.6 OPZ zamawiający wymaga, aby urządzenie zapewniało następujące sposoby wykrywania zagrożeń:

a) sygnatury ataków opartych na exploitach,

b) reguły oparte na zagrożeniach,

c) mechanizm wykrywania anomalii w protokołach,

d) mechanizm wykrywania anomalii w ogólnym zachowaniu ruchu sieciowego;

1.2.8. w punkcie 2.2.9.8 OPZ zamawiający wymaga, aby urządzenie posiadało

mechanizm minimalizujący liczbę fałszywych alarmów, jak i niewykrytych ataków (ang. false positives i false negatives);

1.2.9. w punkcie 2.2.9.11 OPZ zamawiający wymaga, aby urządzenie posiadało możliwość pasywnego zbierania informacji o urządzeniach sieciowych oraz ich aktywności (systemy operacyjne, serwisy, otwarte porty, aplikacje oraz zagrożenia) w celu wykorzystania tych informacji do analizy i korelacji ze zdarzeniami bezpieczeństwa, eliminowania fałszywych alarmów oraz tworzenia polityki zgodności;

1.2.10. w punkcie 2.2.9.15 OPZ zamawiający wymaga, aby urządzenie zapewniało możliwość obrony przed atakami skonstruowanymi tak, aby uniknąć wykrycia przez IPS - w tym celu stosuje odpowiedni mechanizm defragmentacji i składania strumienia danych w zależności od charakterystyki hosta docelowego;

1.2.11. w punkcie 2.2.9.17 OPZ zamawiający wymaga, aby urządzenie zapewniało możliwość definiowania wyjątków dla sygnatur z określeniem adresów IP źródła, przeznaczenia lub obu jednocześnie;

1.2.12. w punkcie 2.2.9.19 OPZ zamawiający wymaga, aby urządzenie zapewniało obsługę reguł Snort;

1.2.13. w punkcie 2.2.9.20 OPZ zamawiający wymaga, aby urządzenie zapewniało możliwość wykorzystania informacji o sklasyfikowanych aplikacjach do tworzenia reguł IPS;

1.2.14. w punkcie 2.2.11.3 OPZ zamawiający wymaga, aby urządzenie zapewniało narzędzia analizy historycznej dla plików przesłanych w przeszłości, a rozpoznanych później jako oprogramowanie złośliwe (analiza retrospektywna);

1.2.15. w punkcie 2.2.11.4 OPZ zamawiający wymaga, aby urządzenie zapewniało wykrywanie ataków typu Zero-Day, która to funkcjonalność jest właściwa dla dedykowanych rozwiązań IPS oraz rozwiązań ochrony stacji końcowej, przy czym te ostatnie w rozumieniu wykonawcy nie stanowią przedmiotu zamówienia;

1.2.16. w punkcie 2.2.12.9 OPZ zamawiający wymaga, aby urządzenie posiadało wsparcie dla mechanizmu TCP Ping, który pozwala na wysyłanie wiadomości TCP dla rozwiązywania problemów związanych z łącznością w sieciach IP.

2. Zaskarżonym czynnościom Zamawiającego Odwołujący zarzucił naruszenie:

2.1. art. 7 ust. 1 ustawy Pzp i art. 29 ust. 1, 2 i 3 ustawy Pzp poprzez dokonanie opisu przedmiotu zamówienia w sposób nieadekwatny do uzasadnionych potrzeb Zamawiającego, wskazujący na konkretną markę producenta, z jednoczesnym naruszeniem zasad uczciwej konkurencji i równego traktowania wykonawców;

2.2. art. 7 ust. 1 ustawy Pzp, art. 25. ust. 1 pkt 2 ustawy Pzp i art. 29 ust. 1 i 2 ustawy Pzp poprzez stawianie oferentom wymagań ponad miarę, nieproporcjonalnych do potrzeb weryfikacji, czy oferowany przez wykonawców produkt spełnia wymagania Zamawiającego;

3. z uwagi na powyższe zarzuty Odwołujący wnosił o nakazanie Zamawiającemu dokonania zmiany treści SIWZ - załącznika nr 1 do umowy:

3.1. w zakresie punktu 1.2.4 OPZ - poprzez usunięcie tego wymogu lub dopuszczenie urządzeń, w tym sprzętu i oprogramowania, pochodzących z innych oficjalnych kanałów dystrybucji, bez zawężania wyłącznie do oficjalnego kanału dystrybucji na rynek polski;

3.2. w zakresie punktu 2.1.3 OPZ - poprzez usunięcie tego wymogu lub takiego opisania funkcjonalności, aby możliwe było zastosowanie rozwiązania równoważnego;

3.3. w zakresie punktu 2.2.7.2 OPZ - poprzez usunięcie tego wymogu lub takiego opisania funkcjonalności, aby możliwe było zastosowanie rozwiązania równoważnego;

3.4. w zakresie punktu 2.2.8.11 OPZ - poprzez usunięcie tego wymogu lub takiego opisania funkcjonalności, aby możliwe było zastosowanie rozwiązania równoważnego;

3.5. w zakresie punktu 2.2.8.16 OPZ - poprzez usunięcie tego wymogu;

3.6. w zakresie punktu 2.2.8.18.b) OPZ - poprzez usunięcie tego wymogu lub takiego opisania funkcjonalności, aby możliwe było zastosowanie rozwiązania równoważnego;

3.7. w zakresie punktu 2.2.8.18.d) OPZ - poprzez zmianę zapisów tego wymagania na następujące: „Możliwość samodzielnego definiowania sygnatur aplikacyjnych pozwalających administratorowi na skonfigurowanie opisu dowolnej aplikacji i wykorzystanie go do automatycznego wykrywania tak rozpoznanych aplikacji przez system AVC oraz na wykorzystanie profilu tej aplikacji w regułach reagowania na zagrożenia oraz w raportach;”

3.8. w zakresie punktu 2.2.9.6 OPZ - poprzez usunięcie tego wymogu celem umożliwienia zaproponowania rozwiązań alternatywnych lub takiego opisania

funkcjonalności, aby możliwe było zastosowanie rozwiązania równoważnego;

3.9. w zakresie punktu 2.2.9.8 OPZ - poprzez usunięcie tego wymogu lub takiego opisania funkcjonalności, aby możliwe było zastosowanie rozwiązania równoważnego;

3.10. w zakresie punktu 2.2.9.11 OPZ - poprzez usunięcie tego wymogu lub takiego opisania funkcjonalności, aby możliwe było zastosowanie rozwiązania równoważnego;

3.11. w zakresie punktu 2.2.9.15 OPZ - poprzez zmianę zapisów tego wymagania i dopuszczenie rozwiązań, które pozwolą na „uzyskanie podobnej funkcjonalności poprzez zablokowanie każdego połączenia, która nosi znamiona manipulacji nr sekwencyjnymi segmentów TCP, bez względu do jakiego hosta docelowego kierowane jest połączenie”;

3.12. w zakresie punktu 2.2.9.17 OPZ - poprzez usunięcie tego wymogu w całości lub, alternatywnie, w zakresie definiowania wyjątków dla IP źródła i przeznaczenia jednocześnie;

3.13. w zakresie punktu 2.2.9.19 OPZ - poprzez usunięcie tego wymogu, ewentualnie zmianę tego wymogu na następujący: „System IPS musi umożliwiać budowanie własnych sygnatur IPS bez udziału wsparcia technicznego producenta”;

3.14. w zakresie punktu 2.2.9.20 OPZ - poprzez usunięcie tego wymogu celem umożliwienia zaproponowania rozwiązań alternatywnych lub takiego opisania

funkcjonalności, aby możliwe było zastosowanie rozwiązania równoważnego;

3.15. w zakresie punktu 2.2.11.3 OPZ - poprzez usunięcie tego wymogu celem umożliwienia zaproponowania rozwiązań alternatywnych lub takiego opisania

funkcjonalności, aby możliwe było zastosowanie rozwiązania równoważnego;

3.16. w zakresie punktu 2.2.11.4 OPZ - poprzez jednoznaczne wskazanie, jakiej funkcjonalności Zamawiający oczekuje w tym zakresie;

3.17. w zakresie punktu 2.2.12.9 OPZ - poprzez usunięcie tego wymogu celem umożliwienia zaproponowania rozwiązań alternatywnych lub takiego opisania

funkcjonalności, aby możliwe było zastosowanie rozwiązania równoważnego;

4. ponadto wnosił o zasądzenie od zamawiającego na rzecz Odwołującego kosztów postępowania, w tym kosztów reprezentacji wg przedstawionych na rozprawie rachunków. W tym stanie rzeczy Izba ustaliła i zważyła, co następuje.

W dniu 15 maja 2019r., przed wyznaczoną rozprawą, do siedziby Krajowej Izby Odwoławczej wpłynęło pismo Odwołującego z tej samej daty o cofnięciu odwołania.

Uwzględniając powyższe Izba, działając na podstawie art. 187 ust.8 ustawy z dnia 29 stycznia 2004 r. Prawo zamówień publicznych(t.j. Dz. U. z 2018 r., poz. 1986 wraz ze zm.), postanowiła postępowanie odwoławcze w niniejszej sprawie umorzyć.

Zgodnie z art. 187 ust. 8 zd.2 ustawy Pzp Izba postanowiła zwrócić na rzecz Odwołującego 90% kwoty uiszczonego wpisu.

Wobec powyższego, orzeczono jak w sentencji.

O kosztach postępowania orzeczono stosownie do jego wyniku na podstawie przepisu art. 192 ust. 9 i 10 ustawy Pzp oraz w oparciu o przepisy § 3 pkt 1 i § 5 ust.1 pkt. 3 lit. a i ust. 4

wraz ze zm.).

Przewodniczący........................

6