Vaidlustaja täiendav seisukoht

07.09.2023 TÄIENDAV SEISUKOHT riigihankes „Veebide turvatestimise teenuse tellimine“ (vr 265540) Vaidlustaja: Wisercat Estonia OÜ Registrikood 14133207 Lelle 24, 11318 Tallinn Vaidlustaja esindaja: Erki Fels, vandeadvokaat Advokaadibüroo PricewaterhouseCoopers Legal Tatari 1, 10116 Tallinn E-post [email protected] Hankija: Tartu Ülikool Registrikood 74001073 Ülikooli 18, 50090 Tartu Hankija esindaja Tuuli Ilula, hankeosakonna juhataja E-post [email protected] Kolmas isik: Cyberarch Consulting OÜ Registrikood 14515469 Pihlaka tee 19, 62107 Tartu maakond Kolmanda isiku esindaja: Kadri Matteus, vandeadvokaat Advokaadibüroo Matteus Tartu mnt 82, 10112 Tallinn E-post [email protected] TAOTLUSED 1. Mõista Tartu Ülikoolilt Wisercat Estonia OÜ kasuks välja lepingulise esindaja kulu 4400 eurot ja riigilõiv 640 eurot. ASJAOLUD 1. Vaidlustuskomisjoni (VAKO) menetluses on Wisercat Estonia OÜ (vaidlustaja) vaidlustus Tartu Ülikooli (hankija) avatud hankemenetlusena läbiviidavas riigihankes „Veebide turvatestimise teenuse tellimine“ (vr 265540) (riigihange) tehtud otsuse peale tunnistada riigihankes edukaks Cyberarch Consulting OÜ (kolmas isik). 2. 01.09.2023 esitas hankija vastuse vaidlustusele. Täiendavate seisukohtade tähtpäevaks määras VAKO 07.09.2023. Advokaadibüroo PricewaterhouseCoopers Legal OÜ, Tatari 1, 10116 Tallinn T: 614 1858, [email protected], www.pwclegal.ee PÕHJENDUSED 3. Hankija jääb vastuses vaidlustusele seisukohale, et kõikides hindamise kriteeriumi „Proovitöö“ (proovitöö kriteerium) alamkriteeriumides on vaidlustaja pakkumust õigesti hinnatud. Vaidlustaja ei nõustu. (I) Otsuse õiguspärasust on võimalik hinnata üksnes põhjenduste alusel, mis tehti teatavaks otsuse vastuvõtmisel 4. Hankija peab olema suuteline oma tegeliku tahte riigihanke alusdokumentidesse (RHAD) kirja panema1 ning riigihankes tehtud hindamisotsus peab olema põhjendatud, läbipaistev ja kontrollitav.2 Hankija on käitunud vastupidiselt, koostades äärmiselt üldise hindamismetoodika ja võttes üldistel põhjendustel vaidlustaja pakkumuselt punkte maha. 5. Vastuses vaidlustusele on hankija asunud mõtlema juurde hindamismetoodikat, mida RHADist ei nähtu, ning põhjendusi vaidlustaja proovitöö kohta, mida hindamisotsuses ei ole võimalik tuletada. Hankija otsuse õiguspärasust on võimalik hinnata üksnes nende põhjenduste alusel, mis tehti teatavaks otsuse vastuvõtmisel.3 6. Ringkonnakohus on selgitanud: „Kohtumenetluses esitatud selgitused ei saa asendada haldusorgani poolt hankemenetluses tegemata jäänud ülesandeid, st vajalike asjaolude tuvastamist, hindamist ja kaalumist otsustuse tegemisel. Hankemenetluse läbiviimine muutuks sisutuks, kui hankijal oleks lubatud alles kohtumenetlusega paralleelselt läbi viia vajalik tuvastamine, hindamine ja kaalumine. See kahjustaks ebamõistlikult ka teisi pakkujaid, sest lihtsustatult väljendudes oleks neil korrektse haldusmenetluse läbiviimise saavutamiseks vajalik algatada ka kohtumenetlus, riskides sealjuures võimalusega, et nende kanda jäävad menetluskulud, kui hankijal õnnestub tagantjärele seoses oma otsustusega ära näidata piisavad selgitused ja põhjendused. Lisaks muutuks sellises olukorras kaebajate jaoks kohtuvaidluste tulemus prognoosimatuks.“4 (II) Alamkriteeriumis 1 on hankija lähtunud ebaõigetest kaalutlustest 2.1. Hinnati raporti vormistust, mitte sisu 7. Hankija väidab, et alamkriteeriumis 1 hinnati nii raporti vormistust kui ka selle üldist arusaadavust, mille tõttu võis alamkriteeriumis 1 võtta punkte maha ka raporti sisu puuduste eest.5 See on ebaõige. 8. Alamkriteeriumi 1 sõnastus: „Proovitöö infosüsteemi testimise raport on vormistatud korrektselt ja arusaadavalt.“ Seega hinnatakse, kas vormistus on korrektne ja kas vormistus on arusaadav. Juhul, kui alamkriteeriumis 1 oleks hinnatud proovitöö vormistust ja proovitöö üldist arusaadavust, oleks sõnastus pidanud olema „/…/ raport on vormistatud korrektselt ja on arusaadav“. 1 TlnHKo 3-21-1384, p 11.2; 2 RKHKo 3-20-1198, p 21. 3 VAKO 53-20/218279, p 26. 4 TrtRnKo 3-22-607, p 10. 5 Hankija vastus, p 2.1.1. 2/7 9. Isegi kui alamkriteeriumi 1 sõnastus oleks mitmeti mõistetav, tuleks seda tõlgendada vaidlustajale kui ettevõtjale soodsamal viisil. Kahtluse korral ettevõtja kasuks tõlgendamise põhimõte on juurdunud nii VAKO6, halduskohtu7 kui ringkonnakohtu8 praktikas. 10. Vastuse leheküljel 3 selgitab hankija pikalt, mida tähendas „raporti arusaadavuse nõue“ – s.t nõue, mida üldse RHADist ei nähtunud. Hankija väidab, et raport peab olema koostatud nii, et „seda on võimalik lisaks tehnilistele spetsialistidele esitada ka infosüsteemiga seotud struktuuriüksuste juhtidele ning vajadusel ka ülikooli juhtkonnale“ ning „raporti tekst ei tohi kindlasti olla suunatud üksnes IT-spetsialistile“. Selliseid nõudeid raportile aga RHADist ei tulene. Kindlasti ei ole enesestmõistetav, et veebi turvatestimise raport tuleks koostada nii, et sellest saab aru ka erialateadmisteta inimene. Kui hankijal oli niisugune soov, tulnuks see RHADis väljendada. Hankija saab RHADi muuta enne pakkumuste esitamise tähtpäeva RHSis sätestatud korras (RHS § 81), mitte enam vaidlustusmenetluses. 2.2. Esile toodud puudused on põhjendamatud 11. Puudusega 1 heitis hankija ette, et raport ei järgi OWASP ASVS standardit. Hankija väidab, et talle pidi proovitööst nähtuma, et tegemist on OWASP ASVS taseme 1 meetodil läbi viidud tööga. Samas möönab hankija ka ise, et OWASP ASVS standard ei sätesta nõudeid raporti vormistusele.9 Alamkriteeriumis 1 hinnatakse raporti vormistust, kusjuures ei ole vaidlust, et RHAD ühtegi vormistuslikku nõuet raportile ei kehtesta. Seda, kas pakkuja on lähtunud raporti koostamisel OWASP ASVS standardist, hinnatakse alamkriteeriumis 2. 12. Puudusega 2 heitis hankija ette, et raportis ei ole eristatud, milliseid standardi kontrolle on tehtud ja mida mitte. Hankija väidab, et ta eeldas, et kõik pakkujad saavad sellest nõudest aru.10 Samas pakkujad ei pea mõistatama, mida hankija hindama hakkab. Hankija peab tegema oma tahte RHADis teatavaks. 13. Puudusega 3 heitis hankija ette, et raport ei sisalda viidet OWASP ASVS standardi kasutamisele. Samas möönab hankija, et proovitöö lk 11 punktis 13 on siiski viidatud OWASP ASVS raamistiku järgimisele.11 Seega on hankija ilmselgelt lähtunud ebaõigest kaalutlusest. Hankija väidab, et „kas ka tegelikult järgiti OWASP ASVS taseme 1 kontrolle, dokumendist ei selgu“.12 Taaskord – OWASP ASVS standardi järgimist hinnati alamkriteeriumis 2, mitte 1. 14. Puudusega 4 heitis hankija ette, et kaaskiri sisaldab vaid teoreetilisi turvasoovitusi. See ei olnud aga RHADi kohaselt üldse hindamise aluseks.13 Hankija väidab nüüd, et tegelikult seda asjaolu hindamisel ei arvestatudki.14 Hindamisotsusest ei loe kuidagi välja, et hankija tegelikult pole hindamisel võtnud negatiivselt arvesse, et kaaskiri sisaldab vaid teoreetilisi turvasoovitusi. Kui nüüd hankija möönab, et seda ei arvestatud, on haldusakti andmist ebaõigesti põhjendatud. Kaalutlemisel arvestatud asjaolud peavad kajastuma antava akti põhjendustes (HMS § 56 lg 3).15 6 VAKO 73-17/183856, p 15; VAKO 196-19/215947, p 18; VAKO 256-10/121397, p 10. 7 TlnHKo 3-16-924, p 15; TlnHKo 3-16-277, p 11. 8 TlnRnKo 3-18-2338, p 27; TlnRnKo 3-09-3081, p 12. 9 Hankija vastus, p 2.1.1 alap 1). 10 Hankija vastus, p 2.1.1 alap 2). 11 Hankija vastus, p 2.1.1 alap 3). 12 Hankija vastus, p 2.1.1 alap 3). 13 Vaidlustus, p-d 17—18. 14 Hankija vastus, p 2.1.1 alap 4). 15 RKHKo 3-3-1-52-13, p 32. 3/7 15. Puudusega 5 heidab hankija ette, et raporti kokkuvõte on raskesti mõistetav, kuna see on jagatud kolme erineva punkti alla. Hankija ei ole ka vastuses vaidlustusele sisuliselt põhjendanud, kuidas tegi see asjaolu raporti kokkuvõtte raskesti mõistetavaks.16 Vaidlustaja jääb seisukohale, et see hankija põhjendus on selgelt otsitud. Kolm erinevat punkti, millele hankija viitab („Executive summary“, „Overview“ ja „Assessment summary“), on kõik samal raporti leheküljel 4. Vaidlustuses on vaidlustaja selgitanud, miks on need punktid eraldatud.17 Kokkuvõtte jagunemine kolme punkti peale samal leheküljel ei saanud teha kokkuvõtet raskesti mõistetavaks. 16. Puudusega 6 heidab hankija ette, et raportis puudub tõend leitud turvanõrkuse kohta. Hankija eksib. Raportis on selgitatud, kuidas puudust taasesitada. Sellega on täidetud RHADi nõue esitada leitud viga koos näitega. Hankija väidab, et raport on mõeldud lugemiseks ka juhtidele, kes ei hakka puudust taasesitama.18 Samas sellega ei saanud vaidlustaja raportit koostades kuidagi arvestada, kuna RHADist ei tulene, et proovitöö raport peab olema koostatud ka erialateadmisteta isikule. 17. Selge on, et vaidlustajale ei saa alamkriteeriumis 1 anda 0 punkti. Kuuest puudusest kolm on juba nagunii ära langenud – nendes on kas hankija sisuliselt möönnud eksimust (puuduse 1 puhul möönab hankija, et standard ei sätesta vormistusnõudeid; puuduse 3 puhul möönab hankija, et raport siiski sisaldab viidet standardi kasutamisele) või väitnud, et tegelikult puudust hindamisel ei arvestatudki (puudus 4). Puudus 2 on samuti pikemata asjakohatu, kuna hankija sõnul lähtus ta eeldusest, mida ta RHADis teatavaks teinud ei olnud. Olukorras, kus suurem osa hankija põhjendustest on ekslikud, on ilmne, et pakkumusele antud hindepunktide summa ei ole õige ega põhjendatud.19 (III) Alamkriteeriumis 2 on hankija punktide andmisel eksinud 18. Alamkriteeriumis 2 hinnati, kas turvatestimise metoodika vastab OWASP ASVS standardile. Hankija andis vaidlustajale 0 punkti, seega vaidlustaja ei ole justkui üldse kasutanud OWASP ASVS standardit. 19. Vaidlustaja kasutas OWASP ASVS standardit.20 Vastuses vaidlustusele hankija enam isegi ei väida, et vaidlustaja standardit kasutanud ei ole. Hankija väidab hoopis, et tal oli keeruline standardi kasutamist tuvastada ning selleks oleks ta pidanud koostama standardi ja raporti vahel vastavustabeli.21 20. Alamkriteeriumis 2 hinnatakse, kas standardit on kasutatud, mitte kui arusaadav on standardi kasutamine hankijale. Sealjuures võttis hankija juba alamkriteeriumis 1 vaidlustajalt punkte maha selle eest, et standardi kasutamine oli talle ebaselge (vt p-d 11 ja 13). Et hankija võtab samal põhjendusel erinevates hindamise kriteeriumides pakkujalt punkte, näitab juba iseenesest, et otsus on põhjendamis- ja kaalutlusvigadega. 21. Hankija ülesanne on pakkumusi sisuliselt kontrollida. Hankija pidi alamkriteeriumis 2 tegema kindlaks, kas pakkuja on või ei ole kasutanud OWASP ASVS standardit. Hankija vastusest ei nähtu, et hankija oleks seda teinud. Hankija ei saanud vaidlustajale 16 Hankija vastus, p 2.1.1 alap 5). 17 Vaidlustus, p 19. 18 Hankija vastus, p 2.1.1 alap 6). 19 VAKO 9-20/216811, p 13. 20 Vaidlustus, ptk II. 21 Hankija vastus, p 2.1.2. 4/7  kriteeriumis 0 punkti anda, kuna vaidlustaja on kasutanud OWASP ASVS standardit. Vaidlustuses on vaidlustaja selgelt välja toonud, kus proovitöös asuvad standardi etapid.22 (IV) Alamkriteeriumis 3 pole hankija põhjendanud punktide andmist 22. Alamkriteeriumis 3 hinnati, kas proovitöös leitud puudused on põhjendatud ja kirjeldatud arusaadavalt. Hankija andis vaidlustajale 3 punkti 5-st ja selgitas: „Leitud oli vaid üks turvanõrkus (süsteemis oli meile teadaolevalt rohkem puuduseid) ning selle põhjendused ja kirjeldused vastavad vaid osaliselt meie ootustele.“ 23. Kriteeriumis ei hinnata leitud turvanõrkuste arvu.23 Hankija väidab nüüd, et turvanõrkuste arvu hindepunktide andmisel siiski arvesse ei võetudki.24 Ometi nähtub hindamisotsusest, et sel kaalutlusel on vaidlustajalt punkte maha võetud. Hindamisotsusest ei loe kuidagi välja, et hankija tegelikult pole turvanõrkuste arvu hindamisel arvesse võtnud. Kui nüüd hankija möönab, et turvanõrkuste arvu ei arvestatud, on haldusakti andmist ebaõigesti põhjendatud. Kaalutlemisel arvestatud asjaolud peavad kajastuma antava akti põhjendustes (HMS § 56 lg 3).25 Nii muutub ka hindamisotsus ebaselgeks ja läbipaistmatuks. Kui vaidlustusmenetluse kestel langevad osad põhjendused ära, peab hankija igal juhul hindamise uuesti läbi viima. 24. Kui turvanõrkuste arvu hankija tegelikult ei arvestanud, jääb hankija põhjendustest alles vaid järgmine osa: „Turvanõrkuse põhjendused ja kirjeldused vastavad vaid osaliselt meie ootustele.“ Selle põhjenduse alusel ei ole ju ilmselgelt võimalik aru saada, miks on vaidlustaja punkte kaotanud. Mida üldisemad on hindamise kriteeriumid ja metoodika, seda avaram on hankija hindamisruum ning seda põhjalikumad peavad läbipaistvuse tagamiseks olema hinnete põhjendused.26 Praegusel kujul ei ole alamkriteeriumi 3 hindamisotsuse sisulisele õiguspärasusele üldsegi võimalik hinnangut anda. 25. Hankija on asunud alles vaidlustusmenetluses põhjendama, miks vastavad turvanõrkuse põhjendused ja kirjeldused vaid osaliselt tema ootustele. Neid tagantjärele esitatud põhjendusi arvestada ei saa. Hankija otsuse õiguspärasust on võimalik hinnata üksnes põhjenduste alusel, mis tehti teatavaks otsuse vastuvõtmisel.27 Põhjenduste esitamine vaidlustus- või kohtumenetluses ei muuda akti tagantjärele tõhusalt kontrollitavaks, sest pole võimalik tõendada, kas kohtumenetluse jooksul esitatud põhjendused on samad, millest tegelikult lähtuti.28 (V) Alamkriteeriumis 4 pole hankija põhjendanud punktide andmist ning on ületanud kaalutlusõiguse piire 26. Alamkriteeriumis 4 hinnati, kas testimise tulemusena esitatud soovitused on arusaadavad ja täidetavad 12 kuu jooksul. Hankija andis vaidlustajale 3 punkti 5-st ja selgitas: „Esitatud soovitus leitud turvanõrkuse leevendamiseks oli väga üldine („/…/“)29 ning vastab vaid osaliselt meie ootustele.“ 22 Vaidlustus, p 27. 23 Vaidlustus, p 32. 24 Hankija vastus, p 2.1.3. 25 RKHKo 3-3-1-52-13, p 32. 26 RKHKo 3-20-1198, p 21. 27 VAKO 53-20/218279, p 26. 28 RKHKo 3-3-1-74-11, p 15; RKHKo 3-3-1-13-11, p 9; RKHKo 3-3-1-49-08, p 11; RKHKo 3-3-1-81-07, p 20; RKHKo 3-3-1-62-07, p 16; RKHKo 3-3-1-57-07, p 18; RKHKo 3-3-1-16-05, p 17; RKÜKo 3-3-1-85-10, p 44. 29 Vt sulgude sisu osas vaidlustus, p 38. 5/7 27. Nagu hindamisotsuses, ei ole hankija ka vastuses vaidlustusele selgitanud, kuidas jäid esitatud soovitused arusaamatuks või kuidas ei ole soovitused täidetavad 12 kuu jooksul. Et soovitused olid mittespetsiifilised, pole aluseks punktidest ilmajätmisel. Hankija isegi möönab, et soovitused olid siiski „üldteada“, seega ei jäänud need talle ju ka arusaamatuks.30 28. Kui hankija soovis hinnata soovituste spetsiifilisust, pidanuks ta nii RHADi kirja panema. On vale nõuda, et puuduliku RHADi tagajärjed lükatakse pakkujate õlule.31 Puudulikult koostatud RHADi eest vastutab alati hankija.32 29. Lisaks on hankija taaskord hindepunktide andmist põhjendanud üheainsa lausega, millest tegelikult ei selgu, mille tõttu on hankija vaidlustajalt punkte maha võtnud. Kaalutlemisel arvestatud asjaolud peavad kajastuma antava akti põhjendustes (HMS § 56 lg 3).33 Mida üldisem on hindamismetoodika, seda põhjalikumad peavad põhjendused olema.34 MENETLUSKULUDE NIMEKIRI 30. Vaidlustaja on seoses vaidlustusmenetlusega kandnud menetluskulusid järgnevalt: 1) riigilõiv 640 eurot (vaidlustuse lisa 1); 2) lepingulise esindaja kulu, mis ei sisalda käibemaksu. Lepingulise esindaja tunnihind on 220 eurot (käibemaksuta) ning ajakulu nähtub ajaaruandest: Kuupäev Tegevus Ajakulu (h) 22.08.2023 Hankija otsusega tutvumine. Riigihanke alusdokumentidega 1,5 tutvumine. Vaidlustuse perspektiivi hindamine. Suhtlus kliendiga. 25.08.2023 Vaidlustuse koostamine. Suhtlus kliendiga. 6 28.08.2023 Vaidlustuse koostamine. Kliendiga kooskõlastamine. 6,5 Ärisaladusega ja ärisaladuseta versiooni koostamine. Allkirjastamine ja VAKO-le edastamine. 04.09.2023 Hankija seisukohaga tutvumine. 0,5 05.09.2023 Täiendava seisukoha koostamine. Suhtlus kliendiga. 5,0 07.09.2023 Täiendava seisukoha koostamine. Kliendiga kooskõlastamine. 0.5 Allkirjastamine ja VAKO-le edastamine. Kokku (h) 20 Kokku (EUR) 4400 30 Hankija vastus, p 2.1.4. 31 VAKO 46-21/232833, p 17. 32 RKHKo 3-3-1-24-13, p-d 38—39. 33 RKHKo 3-3-1-52-13, p 32. 34 RKHKo 3-20-1198, p 21. 6/7 MENETLUSLIKUD KÜSIMUSED 31. Tähtaegsus. Täiendavate seisukohtade tähtpäevaks on määratud 07.09.2023. Seisukoht on tähtaegne. 32. Esitamine. Seisukoht on edastatud adressaadile [email protected] ja menetlusosalistele e-posti teel. Austusega (allkirjastatud digitaalselt) Erki Fels, vandeadvokaat 7/7