28.08.2023
VAIDLUSTUS
riigihankes „Veebide turvatestimise teenuse tellimine“ (vr 265540)
Vaidlustaja: Wisercat Estonia OÜ
Registrikood 14133207
Lelle 24, 11318 Tallinn
Vaidlustaja esindaja: Erki Fels, vandeadvokaat
Advokaadibüroo PricewaterhouseCoopers Legal
Tatari 1, 10116 Tallinn
E-post
[email protected]
Hankija: Tartu Ülikool
Registrikood 74001073
Ülikooli 18, 50090 Tartu
Kolmas isik: Cyberarch Consulting OÜ
Registrikood 14515469
Pihlaka tee 19, 62107 Tartu maakond
TAOTLUSED
1. Rahuldada Wisercat Estonia OÜ vaidlustus.
2. Tunnistada kehtetuks Tartu Ülikooli 17.08.2023 otsus osas, millega tunnistati
Cyberarch Consulting OÜ pakkumus edukaks.
3. Jätta menetluskulud Tartu Ülikooli kanda.
ASJAOLUD
1. 31.05.2023 avaldas Tartu Ülikool (hankija) avatud hankemenetlusena läbiviidava
riigihanke „Veebide turvatestimise teenuse tellimine“ (vr 265540) (riigihange) hanketeate
(HT) ja tegi kättesaadavaks riigihanke alusdokumendid (RHAD).
2. 17.08.2023 otsusega tunnistas hankija edukaks Cyberarch Consulting OÜ (kolmas isik)
pakkumuse, mis sai 90 punkti. Wisercat Estonia OÜ (vaidlustaja) pakkumus sai 86 punkti.
3. Hankija on pakkumuste hindamisel rikkunud riigihangete seadust (RHS). Õiguspärase
hindamise korral tuleb riigihankes edukaks tunnistada vaidlustaja. Vaidlustajal on seega
kaebeõigus (RHS § 185 lg 1).
Advokaadibüroo PricewaterhouseCoopers Legal OÜ, Tatari 1, 10116 Tallinn
T: 614 1858,
[email protected], www.pwclegal.ee
PÕHJENDUSED
4. Vaidlustaja pakkumus sai kolmanda isiku pakkumusest 4 punkti vähem. Vaidlustaja
pakkumus on hindamise kriteeriumis „Proovitöö“ (pakkumuse esitamise ettepanek p 5.2.2)
(proovitöö kriteerium) saanud 20 punktist 6.
5. Proovitöö kriteerium jaguneb neljaks alamkriteeriumiks:
1) proovitöö infosüsteemi testimise raport on vormistatud korrektselt ja arusaadavalt
(alamkriteerium 1) – 5 punkti, kui vastab täielikult; 3 punkti, kui vastab osaliselt; 0
punkti, kui ei vasta üldse;
2) proovitöö testimise metoodika vastab OWASP ASVS standardile (alamkriteerium 2)
– 5 punkti, kui vastab täielikult; 3 punkti, kui vastab osaliselt; 0 punkti, kui ei vasta üldse;
3) proovitöö leitud puudused on põhjendatud ja kirjeldatud arusaadavalt
(alamkriteerium 3) – 5 punkti, kui vastab täielikult; 3 punkti, kui vastab osaliselt; 0
punkti, kui ei vasta üldse;
4) proovitöö testimise tulemusena esitatud soovitused on arusaadavad ja täidetavad 12 kuu
jooksul (alamkriteerium 4) – 5 punkti, kui vastab täielikult; 3 punkti, kui vastab
osaliselt; 0 punkti, kui ei vasta üldse.
6. Alamkriteeriumides 1 ja 2 sai vaidlustaja 0 punkti, s.t ei vasta üldse. Alamkriteeriumides 3 ja
4 sai vaidlustaja 3 punkti, s.t vastab osaliselt. Vaidlustaja pidanuks saama kõikides
alamkriteeriumides 5 punkti, s.t vastab täielikult. Sellisel juhul saaks vaidlustaja pakkumus
100 punkti.
7. Vaidlustaja edukaks osutumiseks piisab aga juba sellest, kui vaidlustaja pakkumus saab kogu
proovitöö kriteeriumis 4 punkti rohkem. Sellisel juhul on vaidlustajal ja kolmandal isikul
võrdselt punkte, kuid RHAD p 5.5 järgi tuleb tunnistada edukaks vaidlustaja pakkumus, kuna
tema pakkumus on madalama maksumusega.
8. Avatud hankemenetluses kehtib täpne õigusraam, kus on suur kaal riigihanke korraldamise
üldpõhimõtetel, eriti läbipaistvusel, kontrollitavusel ja võrdsel kohtlemisel (RHS § 3 p-d 1 ja
2).1 Kohtulik kontroll ei piirdu vaid ilmselguse kriteeriumiga, vaid vaidlustuskomisjon
(VAKO) peab hankija otsuse hinnangulisele iseloomule vaatamata minema kaugemale
ilmselgete vigade testist ja kontrollima sisuliselt kaebaja pakkumusele antud hinnangute
põhjendatust, iseäranis, kas hindamisel arvestati asjakohaseid, täielikke ja tõendatud fakte
ning õiguse üldpõhimõtteid; samuti, kas hindamine toimus RHADis teatavaks tehtud
hindamise kriteeriumide kohaselt.2
(I) Vaidlustaja pakkumusele tuleb alamkriteeriumis 1 anda 5 punkti
9. Alamkriteeriumis 1 hinnatakse, kas proovitöö infosüsteemi testimise raport on vormistatud
korrektselt ja arusaadavalt. Hindeid antakse kolme astmega: 5 punkti, kui vastab täielikult;
3 punkti, kui vastab osaliselt; 0 punkti, kui ei vasta üldse. Sellest põhjalikumalt alakriteeriumi
1 hindamismetoodikat selgitatud ei ole.
10. Vaidlustaja proovitöö3 ei saanud alamkriteeriumis ühtegi punkti. Hankija põhjendas seda nii:
„[ärisaladus].“
1 EKo C-440/13, p 2; RKHKo 3-19-1825/50, p 16.
2 RKHKo 3-20-1198, p 17.
3 Pakkumuse dokument „5_1_Pakkuja proovitöö“.
2/6
11. Hankija põhjendustest on võimalik eristada 6 erinevat puudust:
1) [ärisaladus] (puudus 1);
2) [ärisaladus] (puudus 2);
3) [ärisaladus] (puudus 3);
4) [ärisaladus] (puudus 4);
5) [ärisaladus] (puudus 5);
6) [ärisaladus] (puudus 6).
12. Puudus 1 on asjakohatu ja ebaõige. [ärisaladus]. Tehnilise kirjelduse (TK) p-s 4.1 on raporti
kohta kirjutatud üksnes: „Proovitöö testimise tulemused esitatakse raporti kujul. Proovitöö
raport võib olla inglise keeles.“ Lisaks sellele, et hankija põhjendus on alamkriteeriumis 1
asjakohatu, on see ka ebaõige. [ärisaladus].
13. Puudus 2 on asjakohatu. Hankija väidab, et ta „ootas [ärisaladus]“. Kui hankija soovis, et
[ärisaladus], oleks ta pidanud selle ootuse RHADis teatavaks tegema. Hankija ei või hinnata
pakkumusi viisil, mida ta eelnevalt pakkujatele teatavaks ei ole teinud.4 Hankija peab olema
suuteline oma tegeliku tahte RHADi kirja panema.5 Kui hankija koostab hankedokumendid
ebapiisaval või ebaselgel viisil, ei saa selle eest karistada pakkujat.6
14. Puudus 3 on asjakohatu ja ebaõige. Hankija väidab, et vaidlustaja poolt esitatud dokumendid
„[ärisaladus]“. Proovitöös on [ärisaladus]. [ärisaladus].
15. Puudus 4 on asjakohatu. [ärisaladus]. See etteheide ei ole mitte kuidagi seotud raporti
vormistusega – sellel põhjendusel ei saa vaidlustaja pakkumuselt alamkriteeriumis 1 punkte
maha võtta. Hankija ei või hinnata pakkumusi viisil, mida ta eelnevalt pakkujatele teatavaks
ei ole teinud.7
16. Lisaks juhib vaidlustaja tähelepanu, et TK p 4.1 järgi tuli proovitöö teha vaatluse teel ning
ründeid ega muid veebi muutvaid tegevusi teha ei olnud lubatud. Teabevahetuses on hankija
selgitanud, et proovitöö jaoks ei ole vaja sisse logida ning raport tuleb koostada avaliku info
põhjal.8 [ärisaladus].
17. Puudus 5 on ebaõige. [ärisaladus]. Hankija põhjendus on selgelt otsitud.
18. Puudus 6 on asjakohatu ja ebaõige. [ärisaladus]. Alamkriteeriumis 1 hinnatakse raporti
vormistust, mitte sisu. [ärisaladus].
19. Kokkuvõttes – hankija on alamkriteeriumis 1 põhjendanud vaidlustajale punktide andmata
jätmist 6 puudusega, millest kõik on asjakohatud ja/või ebaõiged. [ärisaladus]. Olukorras,
kus suurem osa hankija põhjendustest on ekslikud, on ilmne, et pakkumusele antud
hindepunktide summa ei ole õige ega põhjendatud. Tegemist on kaalutlusveaga, mis tingib
otsuse õigusvastasuse.9
20. Kuna kõik väidetavad puudused olid asjakohatud ja/või ebaõiged, tuleb eeldada, et
vaidlustaja proovitöös ei esinenud vormistuslikku puudusi. Alamkriteeriumis 1 tuleb
vaidlustaja pakkumusele seega anda 5 punkti, s.t 5 punkti enam, kui vaidlustaja sai.
4 EKo C-6/15, p 23.
5 TlnHKo 3-21-1384, p 11.2.
6 TrtRnKo 3-21-258, p 14.
7 EKo C-6/15, p 23.
8 Riigihanke teabevahetus, sõnumi ID 755695.
9 VAKO 9-20/216811, p 13.
3/6
(II) Vaidlustaja pakkumusele tuleb alamkriteeriumis 2 anda 5 punkti
21. Alamkriteeriumis 2 hinnatakse, kas testimise metoodika vastab OWASP ASVS standardile.
Hindeid antakse kolme astmega: 5 punkti, kui vastab täielikult; 3 punkti, kui vastab osaliselt;
0 punkti, kui ei vasta üldse. Põhjalikumalt alakriteeriumi 1 hindamismetoodikat selgitatud ei
ole.
22. Vaidlustaja ei saanud alamkriteeriumis ühtegi punkti, s.t vaidlustaja ei ole oma proovitöös
justkui üldse kasutanud OWASP ASVS standardit. Hankija põhjendab punkte nii:
„[ärisaladus].“ Hankija eksib.
23. Vaidlustaja on testi läbiviimisel järginud OWASP ASVS standardit. [ärisaladus].
24. OWASP ASVS standardis on 14 turvatestimise etappi (V1—V14).10 Taseme 1 puhul on
tasemetega 2 ja 3 võrreldes vajalikke tegevusi vähem, kuna tegemist on nn black box
turvatestimisega, kus ei anta välja dokumentatsiooni ega lähtekoodi.11 [ärisaladus].
25. Kõik vajalikud OWASP ASVS taseme 1 tegevused on proovitöös kajastatud:
1) etapp V1 „Architecture, Design and Threat Modeling“ – [ärisaladus];
2) etapp V2 „Authentication“ – [ärisaladus];
3) etapp V3 „Session Management“ – [ärisaladus];
4) etapp V4 „Access Control“ – [ärisaladus];
5) etapp V5 „Validation, Sanitization and Encoding“ – [ärisaladus];
6) etapp V6 „Stored Cryptography“ – [ärisaladus];
7) etapp V7 „Error Handling and Logging“ – [ärisaladus];
8) etapp V8 „Data Protection“ – [ärisaladus];
9) etapp V9 „Communication“ – [ärisaladus];
10) etapp V10 „Malicious Code“ – [ärisaladus];
11) etapp V11 „Business Logic“ – [ärisaladus];
12) etapp V12 „Files and Resources“ – [ärisaladus];
13) etapp V13 „API and Web Service“ – [ärisaladus];
14) etapp V14 „Configuration“ – [ärisaladus].
26. Hankija on olnud vaidlustaja proovitöö hindamisel hooletu ning [ärisaladus]. See ei ole tõsi.
Hankija on rahuldunud ühe lakoonilise järelduse tegemisega („[ärisaladus]“), selgitamata,
kuidas ta sellise järelduseni jõudis. Hankija hindamisotsus ei ole põhjendatud, läbipaistev
ega kontrollitav (RHS § 117 lg 1, HMS § 56 lg-d 1 ja 3).
27. Kuna vaidlustaja on proovitöös kasutanud OWASP ASVS taseme 1 standardit, tuleb
pakkumusele alamkriteeriumis 2 anda 5 punkti, s.t 5 punkti enam, kui vaidlustaja sai.
10 OWASP ASVS standard 4.0. Veebis:
https://github.com/OWASP/ASVS/blob/v4.0.3/4.0/OWASP%20Application%20Security%20Verification%
20Standard%204.0.3-en.pdf.
11 Vt OWASP ASVS standardi lk 11.
4/6
(III) Vaidlustaja pakkumusele tuleb alamkriteeriumis 3 anda 5 punkti
28. Alamkriteeriumis 3 hinnatakse, kas proovitöö leitud puudused on põhjendatud ja kirjeldatud
arusaadavalt. Hindeid antakse kolme astmega: 5 punkti, kui vastab täielikult; 3 punkti, kui
vastab osaliselt; 0 punkti, kui ei vasta üldse. Põhjalikumalt alakriteeriumi 1
hindamismetoodikat selgitatud ei ole.
29. Vaidlustaja sai alamkriteeriumis 3 punkti, s.t proovitöö vastab nõudele osaliselt. Hankija
põhjendas punkte nii: „[ärisaladus].“
30. Hankija on teinud ilmselge kaalutlusvea. [ärisaladus]. Hindamise kriteeriumid peavad
olema selgelt määratletud hankemenetluse algusest peale ja hankija ei või hinnata pakkumusi
viisil, mida ta eelnevalt pakkujatele teatavaks ei ole teinud.12 Kehtiv RHAD on siduv nii
pakkujatele kui ka hankijale.13
31. Kui hindamise kriteeriumi järgi [ärisaladus] ei hinnata, ei saa hankija seda omaalgatuslikult
pärast pakkumuste esitamist tegema hakata. Hankija ei saa alles pärast proovitööde esitamist
otsustada, mida ta hindab. Hankija peab olema suuteline tegeliku tahte RHADi kirja panema.
Kui hankija on tingimuse koostamisel ebaõnnestunud, siis peab ta oma vea parandamiseks
RHADi selleks ette nähtud tähtajal ja korras muutma.14 Puudulikult koostatud RHADi eest
vastutab eranditult alati ning üksnes hankija.15
32. Lisaks väidab hankija, et [ärisaladus]. Hankija ei ole mitte kuidagi põhjendanud, miks
[ärisaladus]. Hindamisotsus peab olema põhjendatud, läbipaistev ja kontrollitav (RHS § 117
lg 1, HMS § 56 lg-d 1 ja 3). Seejuures tuleb arvestada, et mida üldisemad on hindamise
kriteeriumid ja metoodika, seda avaram on hankija hindamisruum ning seda põhjalikumad
peavad läbipaistvuse tagamiseks olema hinnete põhjendused.16
33. Alamkriteeriumi 3 hindamise metoodika on äärmiselt üldine („puudused on põhjendatud ja
kirjeldatud arusaadavalt“) ning täpsemalt sama üldised on hindamisotsuses esitatud
põhjendused („[ärisaladus]“). Selline otsus ei ole põhjendatud, läbipaistev ega kontrollitav,
mille tõttu ei ole hankija otsuse sisulisele õiguspärasusele üldsegi võimalik hinnangut anda.
Ühelegi pakkujale ei ole sellise põhjenduse alusel arusaadav, mille eest ta punkte kaotas.
34. [ärisaladus], mille tõttu tuleb talle alamkriteeriumis 3 anda 5 punkti, s.t 2 punkti enam,
kui ta sai. [ärisaladus].
(IV) Vaidlustaja pakkumusele tuleb alamkriteeriumis 4 anda 5 punkti
35. Alamkriteeriumis 4 hinnatakse, kas testimise tulemusena esitatud soovitused on
arusaadavad ja täidetavad 12 kuu jooksul. Hindeid antakse kolme astmega: 5 punkti, kui
vastab täielikult; 3 punkti, kui vastab osaliselt; 0 punkti, kui ei vasta üldse. Sellest
põhjalikumalt alakriteeriumi 1 hindamise metoodikat RHADis selgitatud ei ole.
36. Vaidlustaja sai alamkriteeriumis 3 punkti, s.t proovitöö vastab nõudele osaliselt. Hankija
põhjendas punkte nii: „[ärisaladus].“
37. Nagu alamkriteeriumis 3, on hankija ka alamkriteeriumis 4 hindamismetoodikast mööda
vaadanud, ületades kaalutlusõiguse piire. Alamkriteeriumis 4 ei hinnatud, kas [ärisaladus].
Hinnati, kas soovitused on arusaadavad ja täidetavad 12 kuu jooksul. Hankija ei või hinnata
12 EKo C-6/15, p 23.
13 RKHKo 3-3-1-24-13, p 25; RKHKo 3-3-1-50-15, p 14.2.
14 TlnHKo 3-21-1384, p 11.2.
15 RKHKo 3-3-1-24-13, p-d 38—39.
16 RKHKo 3-20-1198, p 21.
5/6
pakkumusi viisil, mida ta eelnevalt pakkujatele teatavaks ei ole teinud.17 Hankija peab olema
suuteline oma tegeliku tahte RHADi kirja panema.18 Hankija sai vaidlustajalt punkte maha
võtta siis, kui vaidlustaja esitatud soovitused olid hankijale arusaamatud või kui soovitused
ei olnud täidetavad 12 kuu jooksul. Hankija hindamisotsusest ei nähtu, et kumbki olukord
esineb.
38. Lisaks sellele, et hankija on vaidlustaja proovitöö hindamisel hälbinud kehtivast
hindamismetoodikast, on ka alamkriteeriumis 4 hankija põhjendused väga üldised
(„[ärisaladus]“). Nagu selgitatud – mida üldisemad on hindamise kriteeriumid ja metoodika,
seda avaram on hankija hindamisruum ning seda põhjalikumad peavad läbipaistvuse
tagamiseks olema hinnete põhjendused.19 Hankija hindamisotsusest ei ole aru saada, miks
[ärisaladus].
39. [ärisaladus].
40. Vaidlustaja poolt esitatud soovitused on arusaadavad ja täidetavad 12 kuu jooksul, mille tõttu
tuleb talle alamkriteeriumis 4 anda 5 punkti, s.t 2 punkti enam, kui vaidlustaja sai. Kuna
tegu oli black-box tüüpi testiga, mille puhul lähtekoodi ega muid materjale pakkujatele ei
jagatud, siis [ärisaladus]. [ärisaladus].
MENETLUSLIKUD KÜSIMUSED
41. Ärisaladus. Vaidlustaja proovitöö on tema ärisaladus. Vaidlustus on koostatud kahes
versioonis. Kolmandale isikule on koostatud see kaetud versioon, millest on eemaldatud
vaidlustuse osad, millest nähtub vaidlustaja proovitöö sisu.
42. Vaidlustuse tähtaegsus. Hankija saatis otsuse vaidlustajale 17.08.2023. Vaidlustus on
tähtaegne (RHS § 189 lg 1).
43. Riigilõiv. Vaidlustaja on tasunud riigilõivu summas 640 eurot (lisa 1).
44. Esindusõigus. Vandeadvokaat Erki Fels kinnitab, et on vaidlustaja volitatud esindaja.
45. Vaidlustuse läbivaatamise viis. Vaidlustaja on nõus asja lahendamisega kirjalikus
menetluses.
46. Vaidlustuse esitamine. Vaidlustus on edastatud adressaadile
[email protected].
Austusega
(allkirjastatud digitaalselt)
Erki Fels, vandeadvokaat
1 - Riigilõivu tasumist tõendav maksekorraldus.
17 EKo C-6/15, p 23.
18 TlnHKo 3-21-1384, p 11.2.
19 RKHKo 3-20-1198, p 21.
6/6
!" #$%& '
() * +,
-./0- -12342 5 -6678 9:;<8:=>?@; 5 43ABB4CD/ 2-B-
" #$%&''( " )*+ ,-. " $/0#1 2'(
! 34355678
9':0' :# ;< = > ?@AA0 B CDE ;< = FE 22'A:0 '+ ;< = :( 2A##:21
G437376676HIH8566G J
--0- -12342 5 -6678 9E:FG;<8:H 5 414IAJA-CKD/ 2-B-
K "JL JL
9':0' :# ;< = B CDE ;< = 22'A:0 '+ ;< =
MG37376677548GI733
> N:$ < : > (#// < O , P-QD E - .)C <:R2#1S/ T:& < : :( ((#//
JK6U < V 9 LW 6 XX 3H737
L&/ /A ;:AT#0 > /Y:($= > ?@AA0 ZQ P E[ ;\ ) P)-PC]F= FE 'A:0 'R N1:0 ;: :AT#/ :( ^'#(/= :(
2A##:21
I47+77 ;/_ `A:(#( R'A#01 +77= J
@$0A/ a- C "0@/ 'R N1:0
$@Y? ?(@A/0A/ /0 ;?# 6IHH47=
b0:AT# - ) CCc, R#:2 '+
6G777M636I
:A/0/A a E -OCQ[ '//': R :A/0/A&':0' > ?@AA0 ZDE . P Ec -OCQ[ FE
7+77 '//': R 22'A:0 :( 2A##:21
(-1L- .A11ABM/ 5 EN<O8PQN86?8 R;6@; 5 -1.D/ JS1IAC3-BAS1
W#&@:( :0#:0N:&<A/:// :0#:0 T:&
54HI38586H 6M+7M+6765 3MdHId4G
< V:& '#:e 6 3H737 @@:: /0 #$%&''( 377746H6
636 5H5