Hankija täiendavad seisukohad

Riigihangete vaidlustuskomisjon e-post: [email protected] Kuupäev digiallkirjas Hankija: Tartu Ülikool Registrikood 74001073 Ülikooli 18, 50090 Tartu Hankija esindaja: Tuuli Ilula E-post: [email protected] Telefon: 737 6632 Vaidlustaja: Wisercat Estonia OÜ Registrikood 14133207 Lelle 24, 11318 Tallinn Vaidlustaja esindaja: Erki Fels, vandeadvokaat Advokaadibüroo PricewaterhouseCoopers Legal E-post: [email protected] Kolmas isik: Cyberarch Consulting OÜ Registrikood 14515469 Pihlaka tee 19, 62107 Tartu maakond Kolmanda isiku esindaja: Kadri Matteus, vandeadvokaat Advokaadibüroo Matteus Tartu mnt 82, 10112 Tallinn Telefon: 53419810 menetlusdokumendid: [email protected] HANKIJA VASTUS vaidlustaja 07.09.2023 täiendavale seisukohale vaidlustuses hankes viitenumbriga 265540 1. ASJAOLUD JA MENETLUSE KÄIK Käesolevaga esitab hankija omapoolsed vastused vaidlustaja 07.09.2023 täiendavale seisukohale. Hankija jääb kõikide oma eelnevalt esitatud seisukohtade juurde ning ei nõustu vaidlustaja poolt välja toodud puudustega vaidlustaja proovitöö hindamise läbiviimisel. Hankija on seisukohal, et vaidlustaja pakkumuse hindamine on läbi viidud õiguspäraselt ning õiguspärane on ka hankija otsus kolmanda isiku edukaks tunnistamise kohta. 1 2. HANKIJA TÄIENDAVAD SEISUKOHAD 2.1. Otsuse õiguspärasuse hindamisel tuleb arvesse võtta ka vaidlustusmenetluses esitatud põhjendusi Hankija ei nõustu vaidlustaja seisukohaga, mille kohaselt käesoleval juhul on võimalik hankija otsuse õiguspärasust hinnata üksnes nende põhjenduste alusel, mis tehti teatavaks otsuse vastuvõtmisel. VAKO on 08.06.2023 otsuses Riigikohtu lahendile tuginedes selgitanud järgnevat: „Samas on Riigikohus 11.12.2020 otsuse nr 3-20-1198 p-s 21 pidanud võimalikuks, et vaidluse korral saab hankija oma otsuse põhjendusi kohtumenetluses täpsustada. Käesoleval juhul on Hankija vaidlustusmenetluses oma vastustes vaidlustusele täiendavalt põhjendanud Vaidlustaja pakkumusele punktide andmist Tehnilise lahenduse kriteeriumi koosseisus kehtestatud alakriteeriumide alusel, selgitades täiendavalt, miks pakkumusele on konkreetse alakriteeriumi alusel omistatud nimelt nii palju punkte, kui Hankija seda tegi. Lähtudes Riigikohtu eelviidatud otsusest leiab vaidlustuskomisjon, et kontrollides Vaidlustaja pakkumuse hindamist Tehnilise lahenduse kriteeriumi alakriteeriumide alusel, tuleb vaidlustuskomisjonil arvestada ka Hankija poolt vaidlustusmenetluses esitatud põhjendusi.“1 Seega eelnevast tulenevalt ei ole õige vaidlustaja absoluutne lähenemine, mille kohaselt tuleks hankija poolt vaidlustusmenetluses antud selgitused käesolevas vaidluses täielikult tähelepanuta jätta. Hankija ei ole asunud vaidlustusmenetluses juurde mõtlema RHAD-ist mittenähtuvat hindamismetoodikat, vaid on täiendavalt selgitanud vaidlustaja proovitööle omistatud hindepunktide suurust RHAD-is sisaldunud hindamismetoodika tingimustest lähtuvalt. Hankija on oma 01.09.2023 vaidlustuse vastuses ulatuslikult selgitanud ja kirjeldanud vaidlustaja proovitöös esinenud puuduseid. Seejuures on hankija ka vaidlustuse vastuses käsitlenud just neid samu puuduseid, mis on hankija poolt välja toodud ka juba 17.08.2023 otsuse põhjendustes (isegi kui möönda, et otsuse põhjendustes on puudustele viidatud üldsõnaliselt, on otsuse tegemisel kõik hindamisel määravaks saanud puudused käsitletud). Seega ei ole hankija vaidlustusmenetluse raames hakanud tuvastama uusi ja täiendavaid puuduseid vaidlustaja proovitöös, vaid hankija poolt vaidlustusmenetluses antud selgitused täiendavad juba 17.08.2023 otsuse tegemisel välja toodud vaidlustaja proovitöös esinenud puuduste sisu ja nende mõju hindamispunktide kujunemisele. Teisisõnu, hankija ei ole alles vaidlustusmenetluses asunud tuvastama ja hindama vaidlustaja proovitöö puuduseid, vaid on täpsustanud ka juba otsuse tegemise hetkeks hankija poolt tuvastatud vaidlustaja proovitöös sisalduvate puuduste mõju hindamistulemustele. Tulenevalt Riigikohtu praktikast on võimalik haldusakti põhjendamisvigadest olenemata jätta haldusakt jõusse juhul, kui „haldusorgan esitab piisavad põhjendused tagantjärele kohtumenetluses ning kohus on veendunud, et haldusorgan lähtus samadest kaalutlustest ka tegelikult otsuse tegemisel.“2 Viidatud Riigikohtu lahendile tuginedes on ka VAKO selgitanud selle põhimõtte rakendamist vaidlustusmenetluses järgnevalt: „Täpselt nagu halduskohtud hindavad haldusakti õiguspärasust akti andmise aja seisuga (halduskohtumenetluse seadustiku § 158 lg 2), hindab ka vaidlustuskomisjon hankija otsuse õiguspärasust selle vastuvõtmise aja seisuga. Sellest 1 VAKO 64-23/262842, p 13. 2 RKHKo 3-17-1927, p 23. 2 lähtuvalt on hankija otsuse õiguspärasust võimalik hinnata üksnes nende põhjenduste peeglis, mis anti hankija poolt otsusele selle vastuvõtmisel. Võttes aluseks Riigikohtu praktika haldusasjades, on vaidlustuskomisjonil vaid ühel erandlikul juhul võimalik võtta hankija otsuse seaduslikkuse üle otsustamisel arvesse ka hilisemaid põhjendusi. Selline olukord esineb siis, kui hankija on veenvalt tõendanud, et ta lähtus tagantjärele esitatud kaalutlustest ka otsuse vastuvõtmisel (vt otsus haldusasjas nr 3-17-1927, p 23).3 Seega on käesoleval juhul selge, et kuivõrd vaidlustusmenetluse raames antud selgitustest tulenevatest kaalutlustest on hankija lähtunud ka vaidlustaja pakkumuse hindamisel 17.08.2023 otsuse tegemise ajahetkel, on käesolevas vaidluses asjakohane hankija otsuse õiguspärasust hinnata ka vaidlustusmenetluses antud selgituste alusel. 2.2. Alamkriteeriumis 1 on hankija lähtunud RHAD-is sisaldunud nõuetest Nii hankija 01.09.2023 vaidlustuse vastuses kui ka kolmanda isiku 07.09.2023 seisukohas on korduvalt ja ulatuslikult selgitatud, et nõuded proovitöö raporti vormistusele tulenesid RHAD- is kehtestatud OWASP ASVS taseme 1 standardi enda nõuetest. Standardi enda sisu ja nõuded pidid olema turvatestimise valdkonnas tegutsevale professionaalile selged ja arusaadavad. Nõue, et viidatud standardit tuleb järgida, oli kirjas RHAD-is. Ehk hankija tahe oli konkreetselt RHAD-is teatavaks tehtud. Kui turvatestimise teenuse tellimiseks korraldatud riigihankes osalev pakkuja on turvatestimise valdkonna professionaal, kes on kursis ka viidatud standardist tulenevate nõuetega, ei saagi tekkida ka vaidlustaja poolt kirjeldatavat olukorda, kus pakkujad peaksid mõistatama, mida hankija hindama hakkab. On selge, et kui raporti vormistamisel ei ole järgitud konkreetse valdkonna spetsiifilise standardi nõudeid, avaldab see otsest mõju ka raporti arusaadavusele, millest tulenevalt on hankija ka esimese alamkriteeriumi selliselt sõnastanud. Hankija soovib veelkord rõhutada, et on väär vaidlustaja järeldus, mille kohaselt tulnuks hinnata vaid raporti vormistust ja mitte sellest arusaamist. Raporti vormistamisel RHAD-is nõutud standardi järgimine on otseses seoses kogu raporti arusaadavuse nõudega. Just OWASP ASVS standardi kehtestamise põhimõtetest tulenevalt on siinkohal väär ka vaidlustaja väide, mille kohaselt RHAD-ist nähtuvalt ei olnud enesestmõistetav, et veebi turvatestimise raport tuleks koostada nii, et sellest saab aru ka erialateadmiseta inimene. Ka selline nõue tuleneb hankija poolt juba 01.09.2023 vaidlustuse vastuses lahti kirjutatud standardi enda eesmärkidest, mille kohaselt on üheks eesmärgiks standardi kasutamine mõõdikuna, et „anda rakenduste arendajatele ja omanikele mõõdupuu, mille abil hinnata veebirakenduste usaldusväärsust“. Viidatud lause kontekstis on selge, et kuivõrd rakenduste arendajate näol on tegemist tehnilise taustaga inimestega, siis rakenduste omanikud (käesoleval juhul Tartu Ülikooli vastavate valdkondade/üksuste juhid) ei pea olema turvatestimise valdkonna spetsialistid. Sellest tulenevalt omab ka OWASP ASVS standardi järgimine või mittejärgimine otsest mõju raporti vormistusele. Kui vormistus ei järgi nõutud standardit, ei ole ka raport lugeja jaoks arusaadav. Nagu on hankija ka vaidlustuse vastuses korduvalt rõhutanud, siis oli hankija selge tahe peale raporti vormistuse hinnata ka raporti arusaadavust. Seega on nii puudus 1 kui ka puudus 2 esimese alamkriteeriumi raames asjakohased ja põhjendatud puudused. 3 VAKO 53-20/218279, p 26. 3 Puuduse 3 osas on hankija juba vaidlustuse vastuses selgitanud, et vaidlustaja proovitöö oli vormistatud selliselt, et viide OWASP ASVS raamistikule oli üldine ning hankijal ei olnud konkreetselt võimalik tuvastada, kas vaidlustaja poolt proovitöös leitud turvanõrkuse puhul oli läbi viidud konkreetselt OWASP ASVS tase 1 standardile vastavad kontrollid. Seega ei pea hankija vajalikuks veel täiendavalt üle korrata juba eelnevas vastuses selgitatut. Hankija soovib tähelepanu juhtida sellele, et puuduse 4 sisust ja selle mõjust alamkriteeriumi 1 alusel hindepunktide andmisele on vaidlustaja täiesti valesti aru saanud. Puudus 4 ei seisne selles, et vaidlustaja proovitöö kaaskiri sisaldab "vaid teoreetilisi turvasoovitusi“. Puudus 4 seisneb selles, et vaidlustaja esitas koos proovitööga täiendava kaaskirja, mille raames: 1) vaidlustaja on dokumendis viidanud, et selle dokumendi näol on tegemist ametliku raportiga, kuid mis seda tegelikult ei ole (kaaskirja näol oli tegemist lisamaterjaliga); 2) vaidlustaja on käsitlenud tellimuse skoopi mittekuuluvaid teemasid. Teisisõnu, puudus 4 seisneb selles, et vaidlustaja on proovitööga koos esitanud eksitava sisuga täiendava dokumendi, mille näol ei ole tegemist nõutud raportiga ja mis tegelikult ei sisalda ka konkreetselt raportis nõutud infot. Seega ei ole vaidlustaja suutnud vormistada oma proovitöö raames esitatud dokumente selliselt, et üksteisest oleksid selgelt eristatavad ametlik raport ja lisadokumendid. Nagu on hankija ka juba vaidlustuse vastuses selgitanud, siis see avaldab ka otsest mõju kogu proovitöö arusaadavusele. Ning kuivõrd vaidlustaja on oma täiendavas seisukohas neljanda puuduse asjaolusid täiesti valesti käsitlenud, ei ole need argumendid hankija etteheidete kohta ka asjakohased. Puuduse 5 osas on hankija vaidlustuse vastuses raames konkreetselt öelnud, et vaidlustaja raporti kokkuvõte oli raskesti mõistetav seetõttu, et vaidlustaja kasutas raporti koostamiseks oma raporti formaati, mis OWASP ASVS taseme 1 standardiga kokku ei läinud. Puuduse 6 osas on vaidlustuse vastuses põhjalikult selgitatud, et vaidlustaja proovitöös leitud turvanõrkus ei olnud tõendatud sellises formaadis, et see: 1) oleks kohe raportit lugedes arusaadav ilma vajaduseta viia läbi täiendavaid tegevusi; 2) oleks tuvastatav igal ajahetkel ning ei sõltuks vaidlustaja poolt viidatud päringu tegemise ajahetkest (ehk oleks ajas püsiv). Hindamismetoodika kohaselt hinnati esimese alamkriteeriumi alusel null punktiga sellist tööd, mille puhul töö vormistus ja arusaadavus ei vasta hankija ootustele üldse. Hankija tõi juba 17.08.2023 otsuse põhjenduste raames välja mitmed olulise kaaluga puudused, mille põhjal see hinnang esimese alamkriteeriumi alusel antud on. Kui antud hindamiskriteerium tundus vaidlustajale arusaamatu, oleks õige käitumine olnud juba hankemenetluse alguses esitada hankijale läbi RHR-i vastav küsimus ja/või ettepanek RHAD-i täiendamiseks. 2.3. Alamkriteeriumis 2 on hankija andnud punkte õiguspäraselt Nagu on hankija oma 01.09.2023 vaidlustuse vastuses juba ka välja toonud, siis kuivõrd hankijal ei olnud vaidlustaja proovitöö kontrollimisel võimalik kindlaks teha, milliseid OWASP ASVS standardi taseme 1 järgi nõutavaid kontrolle on vaidlustaja proovitöö koostamisel teostanud, siis ei leia vaidlustaja proovitöö pinnalt tõendamist ka asjaolu, et vaidlustaja proovitöö teostamise turvatestimise metoodika vastab nõutud standardile. Kokkuvõtlikult on hankija sellele puudusele viidanud ka juba 17.08.2023 otsuse põhjenduses ning täiendavad selgitused selle kohta, kuidas vaidlustaja proovitöö ei vastanud OWASP ASVS standardile, on 4 hankija välja toonud juba vaidlustuse vastuses ning neid siinkohal üle kordama ei hakka. OWASP ASVS standardi kasutamine ja sellele vastavus oli ja on kogu turvatestimise teenuse hankemenetluse üks olulisemaid nõudeid ja mis pidi seega iga turvatestimise valdkonna spetsialistina tegutsevale pakkujale ka arusaadav olema. Kuivõrd läbiviidud testimise metoodika standardile vastavust ei ole vaidlustaja proovitöö pinnalt võimalik tuvastada, ei ole võimalik ka teise alamkriteeriumi eest vaidlustaja proovitööle punkte anda. 2.4. Alamkriteeriumis 3 antud punktid on hankija poolt põhjendatud Nagu on hankija eelnevalt punktis 2.1 selgitanud, siis on käesoleva vaidluse puhul ka vaidlustusmenetluses antud põhjendused asjakohased. Hankija on juba 17.08.2023 otsuse põhjendustes toonud välja peamise põhjuse, miks vaidlustaja sai 3 hindepunkti. Toodud põhjendus on olulise kaaluga ning seda on hankija täpsemalt selgitanud ka 01.09.2023 esitatud vaidlustuse vastuses. Hindamismetoodika kohaselt saab kolm punkti selline proovitöö, mis antud kriteeriumi alusel vastab hankija ootustele osaliselt. Kuna vaidlustaja tõi välja vähemalt ühe olulise puuduse, kuid selle põhjendused ja kirjeldused lähtusid vaidlustaja oma metoodikast (mitte OWASP ASVS standardi taseme 1 kontrollidest), on antud hinne õige ja põhjendatud. Hankija ei ole kordagi väitnud, et hindepunktide andmisel arvestatakse turvanõrkuste arvu, kuid arvestas, et vähemalt üks turvanõrkus vaidlustaja esitatud raportis siiski leidus. Paraku vaidlustaja poolt proovitöös leitud turvanõrkuse kohta esitatud põhjendus ja kirjeldus vastas hankija ootustele vaid osaliselt, mille põhjustest on kirjutatud juba 17.08.2023 otsuse põhjenduste raames (vt laused “Ootasime vähemalt OWASP ASVS taseme 1 turvatesti raportit, mis muuhulgas esitaks selgelt, milliseid standardi kontrolle on tehtud ja mida mitte.”, “Pakkuja poolt esitati meile kaks segaselt vormistatud dokumenti, mis ei sisaldanud arusaadavaid viiteid OWASP ASVS standardi kasutamisele.” ja “Raportis puudus tõend (näiteks ekraanipilt) leitud turvanõrkuse kohta, oli toodud vaid viide sellele, kuidas võiks nõrkust tuvastada” ). Täiendavalt on alamkriteeriumi 3 alusel hindepunktide andmist selgitatud ka 01.09.2023 esitatud vaidlustuse vastuses. Seega asjakohased selgitused selle kohta, miks vastavad turvanõrkuse põhjendused ja kirjeldused vaid osaliselt hankija ootustele, on toodud juba 17.08.2023 otsuse põhjendustes ning hankija ei ole neid esitanud tagantjärgi. 2.5. Alamkriteeriumis 4 antud punktid on hankija poolt põhjendatud ning kaalutlusõiguse piire pole ületatud Asjaolu, et vaidlustaja proovitöös antud soovitus turvanõrkuse leevendamiseks oli väga üldine, ongi konkreetselt tinginud asjaolu, et hankijal ei olnud võimalik vaidlustaja proovitöö põhjal aru saada, kuidas pelgalt sellise üldise ja üldteada turvasoovituse andmine (mille puhul võib eeldada, et hankija juba niikuinii oma tegevustes soovitust tõenäoliselt ka rakendab) aitaks hankija süsteeme turvalisemaks muuta konkreetse leiu valguses ja spetsiifilise turvanõrkuse eemaldamiseks. Vaidlustaja soovituse üldisusele on hankija viidanud ka 17.08.2023 otsuse põhjendustes. Hindamismetoodika kohaselt hinnatakse proovitööd neljanda alamkriteeriumi alusel kolme punktiga juhul, kui töö antud kriteeriumi alusel vastab hankija ootustele osaliselt. Kuna vaidlustaja tõi välja vähemalt ühe olulise puuduse, kuid see oli hankija eesmärke silmas pidades liiga üldine, on antud hinne õige ja põhjendatud. 5 Vaidlustaja poolt on täiesti meelevaldne väita, et kui hankija soovis hinnata soovituste spetsiifilisust, pidanuks ta seda RHAD-is kajastama. Juba pelgalt asjaolu, et hankija on korraldanud riigihanke veebide turvatestimise teenuse tellimiseks, peaks olema selge viide igale mõistlikule isikule, et hankija sooviks on tellida teenust, mis pakuks hankijale turvatestimist tasemel, milleks hankijal endal võimekust ei ole. Ehk soovituste nii-öelda spetsiifilisuse nõue tuleneb juba eos riigihanke enda eesmärkidest. Asjaolule, et soovitakse leping sõlmida oma valdkonna spetsialistidega, on korduvalt viidatud RHAD-is, täpsemalt nii pakkumuse esitamise ettepaneku punktis 2.2 kui ka tehnilise kirjelduse punktis 2.1. Hankija ei saa nõustuda väitega, et valdkonna spetsialist ei saanud pakkumust esitades aru oma kirja pandud lausete sisu professionaalsuse tasemest, sh asjaolust, et tegemist oli liiga üldiste ja konkreetset turvanõrkust vaid kaudselt lahendavate soovitustega. Vaidlustaja on pakkumust esitades kinnitanud, et on tutvunud enne pakkumuse esitamist kõigi RHAD-is sisalduvate nõuete ja tingimustega, saanud võimaluse küsida hankijalt täiendavat informatsiooni hanketeate ja hankedokumentide kohta, on teadlik hankija eesmärkidest ja soovidest ning on arvestanud kõigi tingimustega, mis võivad mõjutada hankelepingu täitmist, mh maksumust ning kulutusi teiste hankelepingu alusel tekkivate kohustuste täitmisele. Vaidlustaja ei esitanud enne pakkumuste esitamise tähtaega hankijale ühtegi täpsustavat küsimust. Samas proovitöös viidatud kuupäevade kohaselt oli tal selleks aega piisavalt. Proovitöö raport on dokumendis olevate andmete kohaselt loodud 12.06.2023 ning selle koostamiseks tehtud tööd viidi läbi ajavahemikus 5.-12.06.2023. Pakkumuste esitamise tähtpäev oli 3.07.2023 kell 14:00. 3. MENETLUSLIKUD KÜSIMUSED 3.1. Hankija on esitanud täiendavad seisukohad tähtaegselt. 4. Eeltoodust tulenevalt ja juhindudes RHS § 197 lõige 1 punktist 4 palub hankija vaidlustuskomisjonil: 4.1. jätta vaidlustus täies ulatuses rahuldamata (RHS § 197 lg 1 p 4); 4.2. jätta vaidlustusmenetluses kantud kulud vaidlustaja kanda. Lugupidamisega (allkirjastatud digitaalselt) Tuuli Ilula hankeosakonna juhataja 6