Hankija vastus

Lp Ulvi Reimets Teie: 31.12.2024 nr 12.2-10/256 Riigihangete vaidlustuskomisjon Tartu mnt 85, 10115 Tallinn Meie: 06.01.2025 nr 1.2-1/74-2 E-post: [email protected] Hankija: sihtasutus Põhja-Eesti Regionaalhaigla Registrikood 90006399 J. Sütiste tee 19, 13419 Tallinn Tel 617 1300 E-post [email protected] Hankija volitatud esindaja: Liisa Saamot Tel 617 3126 E-post [email protected] Vaidlustaja: ByteLife Solutions OÜ Registrikood 11179901 Toompuiestee 35, 10149 Tallinn Vaidlustaja esindaja: Vandeadvokaat Mart Parind Advokaadibüroo NOVE E-post [email protected] Kolmas isik: Security Software OÜ Registrikood 11924368 Veskiposti tn 2, 10138 Tallinn E-post: [email protected] Vastus vaidlustusele riigihankes "Küberturbeteenused ja platvorm 2" (viitenumber 271909) TAOTLUSED: 1) Jätta rahuldamata ühispakkujate ByteLife Solutions OÜ ja Obrela Security Industries GmbH (edaspidi ka vaidlustaja või ByteLife Solutions OÜ) taotlused tunnistada kehtetuks sihtasutuse Põhja-Eesti Regionaalhaigla otsused riigihankes „Küberturbeteenused ja platvorm 2“ (viitenumber 271909), millega sihtasutus Põhja- Eesti Regionaalhaigla: (i) tunnistas riigihankes ByteLife Solutions OÜ pakkumuse mittevastavaks; 1/12  (ii) tunnistas Security Software OÜ pakkumuse edukaks; (iii) kvalifitseeris Security Software OÜ kui eduka pakkuja ning jättis Security Software OÜ hankemenetlusest kõrvaldamata. 2) Jätta ByteLife Solutions OÜ menetluskulud, sh tasutud riigilõiv, ByteLife Solutions OÜ kanda. 1. Asjaolud 1.1. 21.06.2024 avaldas sihtasutus Põhja-Eesti Regionaalhaigla (edaspidi hankija) piiratud hankemenetlusena läbi viidava riigihanke „Küberturbeteenused ja platvorm 2“ viitenumbriga 271909 (edaspidi riigihange) hanketeate ja riigihanke alusdokumendid (edaspidi RHAD). 1.2. Pakkumuste esitamise tähtpäevaks (30.10.2024) esitasid pakkumuse kolm ettevõtet, sh vaidlustaja, Telia Eesti AS (edaspidi Telia) ja Security Software OÜ (edaspidi kolmas isik). 1.3. 20.12.2024 tegi hankija riigihankes otsused ja teavitas pakkujaid otsustest (vaidlustajat ka vaidlustaja pakkumuse tagasilükkamise põhjustest), millega hankija mh: 1.3.1. lükkas riigihangete seaduse (edaspidi RHS) § 114 lõike 2 alusel vaidlustaja pakkumuse tagasi, sest see ei vastanud riigihankes kehtestatud tingimustele; 1.3.2. tunnistas kolmanda isiku ja Telia pakkumused vastavaks; 1.3.3. kvalifitseeris kolmanda isiku eduka pakkujana ja jättis ta hankemenetlusest kõrvaldamata ning 1.3.4. tunnistas RHS § 117 lõike 1 alusel riigihankes edukaks kolmanda isiku pakkumuse. 1.4. 30.12.2024 esitas vaidlustaja riigihangete vaidlustuskomisjonile (edaspidi VAKO) vaidlustuse hankija otsustele lükata tagasi vaidlustaja pakkumus, tunnistada edukaks kolmanda isiku pakkumus ning kvalifitseerida ja jätta kõrvaldamata kolmanda isiku pakkumus. 1.5. 31.12.2024 edastas VAKO hankijale vaidlustuse, paludes esitada vaidlustusele vastus 3 tööpäeva jooksul ehk hiljemalt 06.01.2025. Hankija esitab käesolevaga vaidlustusele tähtaegselt vastuse. 1.6. Kuivõrd vastus vaidlustusele sisaldab vaidlustaja ärisaladust, siis vormistas hankija vastusest kaks versiooni – üks versioon on mõeldud VAKO-le ning vaidlustajale ja teine versioon kolmandale isikule. VAKO-le ning vaidlustajale mõeldud versioonis vastusest on ärisaladus märgitud sinise taustaga, kolmandale isikule mõeldud versioonis on ärisaladust sisaldavad kohad märgistatud tärnidega. 2. Hankija seisukohad 2.1. Hankija ei nõustu vaidlustusega. Hankija hinnangul on vaidlustus põhjendamatu, mistõttu palub hankija selle rahuldamata jätta. Hankija põhjendab oma seisukohta alljärgnevaga. 2.2. RHS § 114 lg 2 kohaselt lükkab hankija pakkumuse tagasi, kui see ei vasta riigihanke alusdokumentides esitatud tingimustele, kui pakkuja ei esita tähtajaks hankija nõutud selgitusi või pakkuja selgituste põhjal ei ole võimalik üheselt hinnata pakkumuse vastavust riigihanke alusdokumentides esitatud tingimustele. Hankija võib tunnistada pakkumuse vastavaks, kui selles ei esine sisulisi kõrvalekaldeid riigihanke alusdokumentides nimetatud tingimustest. 2.3. Vaidlustaja pakkumus ei vasta hankija kehtestatud tingimustele 2.3.1. Hankija nõustub vaidlustajaga selles, et tegemist on sisu poolest keskmisest 2/12  keerukama ülesehitusega riigihankemenetlusega. Samuti nõustub hankija vaidlustajaga selles, et riigihankega hangitav teenus ning platvorm koosneb erinevatest komponentidest. 2.3.2. Küll aga eksib vaidlustaja selles, justkui ei olevat hankija riigihankes nõudnud mingisuguse konkreetse platvormi pakkumist. Riigihanke tehnilise kirjelduse kohaselt on riigihanke eesmärk soetada hankes kirjeldatud küberturbeteenuseid ja platvormi. 2.3.3. Hankija hangib riigihankes katusmõiste ’küberturbeteenus’ all muu hulgas 1) mehitatud häirekeskuse SOC (inglise keeles ’Security Operation Center’) teenust (vt käesoleva vastuse p-i 2.3.4.), mis omakorda sisaldab SIEM teenust ning 2) platvormi, mille all peab hankija silmas küberturbe platvormi. SIEM teenust hangib hankija RHAD-i kohaselt teenusena (SaaS). Kübertubeplatvormi hangib hankija RHAD-i kohaselt tarkvara lahendusena, mis osaliselt paigaldatakse hankija arvutitesse, osaliselt serveritesse ning küberturbe platvormi keskhaldust hangib hankija pilveteenusena (vt tehnilise ettepaneku p 4.1.). Hankija ning kaks teist pakkujat peale vaidlustaja said RHAD-ist samamoodi aru ning vaidlustaja poolne loominguline tõlgendus RHAD-ist on pehmelt öeldes meelevaldne. 2.3.4. Tehnilise kirjelduse p 1.1. kohaselt pidi pakkuja pakkuma mehitatud häirekeskuse SOC (inglise keeles ’Security Operation Center’) teenust, omama vajalikke tarkvarasid, meeskonda ja vastavat kompetentsi. Tehnilise kirjelduse p 1.2. kohaselt peab SOC teenus sisaldama vähemalt, kuid mitte ainult: 2.3.4.1. seireteenust - ohtude jahtimine, nõrkuste haldus, alarmihaldus, ohu analüüs. Seireteenuse sisu on täpsemalt kirjeldatud tehnilise kirjelduse p-s 2 ning selle alapunktides ning seireteenus sisaldab endas SIEM teenust (vt tehnilise kirjelduse p-i 2.4.); 2.3.4.2. küberintsidentide vasteteenust - küberohtude ennetamine, intsidentidele reageerimine sh triaaž, avaliku profiili luureinfo (võimalik teostada automaatset OSINT organisatsiooni ja võtmeisikute monitooringut), aruandlus ja mõõtmine, kriitilise intsidendi lahendamise meeskond. Küberintsidentide vasteteenuse sisu on täpsemalt kirjeldatud tehnilise kirjelduse p-s 3 ning selle alapunktides; 2.3.4.3. kriitilise intsidendi lahendamise teenust - süsteemide analüüs, ohu ohjeldamine, kriisiplaani koostamine, läbirääkimised küberkurjategijatega, digikriminalistika. Kriitilise intsidendi lahendamise teenuse sisu on täpsemalt kirjeldatud tehnilise kirjelduse p-s 4 ning selle alapunktides. 2.3.5. Pakkujate poolt esitatud tehniline ettepanek puudutab tervikuna üksnes küberturbe platvormile esitatavaid nõudeid. Vastavat asjaolu kinnitab muu hulgas ka tehnilise kirjelduse p-s 5 kirjeldatu, mille kohaselt on hankes pakutava küberturbe platvormi hinnastusperioodiks aastane litsentsi maksumus funktsonaalsuste ja mittefunktsionaalsete nõuete tasemete kaupa. Tehnilises ettepanekus on välja toodud lahter „Funktsionaalsustase (tase I / tase II)“ nii XDR, EDR kui ka EPP lahenduste osas. Nii XDR, EDR kui ka EPP on ja saavad olla üksnes hankija poolt hangitava küberturbe platvormi juurde kuuluvad komponendid. Hankija on sunnitud vaidlustaja esitatud seisukohtadest ning argumentidest järeldama, et vaidlustaja ei tea või ei saa aru, misasi on küberturbe platvorm, millistest komponentidest see koosneb ning mis on nende komponentide ülesanne. 3/12  2.3.6. RHAD-i (sh tehnilist kirjeldust, tehnilist ettepanekut jm) tuleb hinnata ning tõlgendada tervikuna, arvestades riigihanke läbiviimise eesmärki1. RHAD-i kogumis hinnates ja tõlgendades on ilmne, et hankija soovib justnimelt küberturbe platvormi hankida keskse küberturbe ökosüsteemi haldava tarkvara lahendusena. SIEM lahendus on üksnes üks komponent, mida hankija on tehnilise kirjelduse kohaselt soovinud täies ulatuses hankida pilveteenusena (SaaS). 2.4. Küberturbe platvorm 2.4.1. Küberturbe platvorm (inglise keeles Cybersecurity-as-a-Platform, edaspidi küberturbe platvorm) pakub sõltumatut kasutajaliidest, mille abil saab hankija kontrollida ulatuslikku ja keerulist küberturbe ökosüsteemi. Kui SIEM teenus eelkõige kogub infoturbe teavet ning haldab sündmuseid, siis küberturbe platvorm nö tegutseb reaalse küberohu korral ja reaalselt kaitseb kogu hankija infosüsteemi muu hulgas SIEM-ilt kui ühelt küberturbe platvormiga ühendatud komponendilt saadud info alusel. 2.4.2. Näiteks kui SIEM’i lahendusest saadud info alusel selgub, et mõni pahalane püüab hankija faile krüpteerida eesmärgiga esitada hankijale lunavaranõue, siis SIEM saadab vastava info küberturbe platvormi, misjärel küberturbe platvorm tuvastab krüpteerimiskatse automaatselt ning tõkestab selle ehk tegutseb saadud info alusel (vt nt tehnilise ettepaneku p-te 1.2.2, 1.8.3 ning 2.8.4). Ka küberturbe platvorm võib saata SIEM’ile teavituse, mille tagajärjel võib tegutsema asuda hoopis 24/7 mehitatud seire- või vasteteenuse meeskond. Kuivõrd SIEM vaid kogub erinevat infot ja analüüsib seda (vt tehnilise kirjelduse p 2.7.5), siis erinevate küberturbeohtude vastu võitlemise või nende tõkestamise funktsioone SIEM teenusel ei ole. 2.4.3. Küberturbe platvorm võimaldab hankijal keskse halduskeskkonna (vt tehnilise ettepaneku p 4 ning selle alapunktid) jälgida kõiki hankija taristusse paigaldatud küberturvalisuse komponente ning hankijal on võimalik küberturbe platvorm integreerida küberturbeteenuses pakutava SIEM lahendusega küberturbeteenuse terviku tõhusamaks toimimiseks (vt tehnilise ettepaneku p 4.10.). See hõlmab ka ühtsete armatuurtahvlite ja visualiseeringute loomist, mis ühendavad kõigi erinevate turvaseire- ja analüüsilahenduste andmed (SIEM), et hankija saaks oma küberturvalisuse keskkonnast tervikliku pildi. 2.4.4. Vaidlustaja viitab, et hankija on tehnilises kirjelduses väga segaselt kirjeldanud, millist konkreetset platvormi ta soovib. Hankija möönab, et tehnilisse kirjelduse p-i 6.1. on sattunud ekslikult mõiste „inforturbeplatvorm“. Tegemist on ainsa sellesisulise eksitava mõistega tehnilises kirjelduses. Ülejäänud tehnilises kirjelduses on viidatud selgesõnaliselt mõistele „küberturbe platvorm“ või lihtsustatult „platvorm“ ning sellele esitatavatele tehnilistele nõuetele ja 1 TlnRKo 3-23-2608, p 18 2 Tehnilise ettepaneku p 1.2. „Lahendus peab tuvastama ründed, andma visualiseeritud ülevaate rünnaku ulatusest ja soovitama võimalike vastumeetmeid rünnaku tõkestamiseks või kontrolli alla saamiseks.“ 3 Tehnilise ettepaneku p 1.8. „Intsidendi visualiseeritud vaatest peab olema võimalik rakendada intsidendiga seotud infovaradele vastumeetmeid sealhulgas isoleerida infovara võrgust, CLI sessiooni loomine, skriptide käivitamine (powershell, bash), faili või URL blokeerimine, e-maili karantiini saatmine jms.“ 4 Tehnilise ettepaneku p 2.8. „Lunavarakaitse – krüpteerimiskatsete automaatne tuvastamine ja tõkestamine.“ 5 Tehnilise kirjelduse p 2.7. „Pakkuja SIEM seirelahendus peab võimaldama koguda, korreleerida ja analüüsida küberintsidente vähemalt järgnevatest allikatest: /…/“ 4/12  hinnastamispoliitikale – vt nt tehnilise kirjelduse tabel 2 ning tehnilise kirjelduse p-te 5, 6 ja 7. 2.4.5. Tehnilise kirjelduse p-s 5 selgelt ning üheselt mõistetavalt öeldud, et „Hankes pakutava küberturbe platvormi hinnastusperioodiks on aastane litsentsi maksumus funktsonaalsuste ja mittefunktsionaalsete nõuete tasemete kaupa. Platvormi litsentsi arveldamine toimub kuupõhiselt. Eraldi hinnana tuuakse välja platvormi haldusteenus (vt punkt 2.4.8) kuupõhiselt. Küberturbe platvormi funktsionaalsused on jagatud kahte tasemesse tase I ja tase II, sealjuures tase II litsentse nõudev EPP/EDR/XDR agent sisaldab ka tase I funktsionaalsuseid. Pakkuja märgib platvormi funktsionaalsus- ja mittefunktsionaalsusnõuete tabelis vastava taseme litsentsi, mis selle funktsionaalsus- või mittefunktsionaalsusnõude täidab. Hind sisaldab EPP/EDR ja XDR maksumust.“ 2.4.6. Tehnilise kirjelduse p-d 6 ning 7 pealkirjad on sõnastatud vastavalt „Küberturbe platvormi esindusõigused“ ja „Küberturbeplatvormi funktsionaalsed ja mittefunktsionaalsed nõuded“. 2.4.7. Hankija on riigihankes nõudnud küberturbe platvormi konkreetset nimetust, mis nähtub riigihanke tehnilise ettepaneku p-st 1. 2.4.8. Tehnilise kirjelduse p 2.14. sätestab, et pakkuja peab platvormihalduse teenuse koosseisus pakkuma samas hankes pakutud platvormile (XDR/EDR/EPP) haldusteenust, mis sisaldab lepinguperioodil vähemalt: 2.4.8.1. platvormi lansseerimist, uuendamist; 2.4.8.2. reeglite ja poliitikate muutmist; 2.4.8.3. nõustamist, tehnilist tuge ja veaotsinguid; 2.4.8.4. intsidentidele reageerimine ja eskaleerimine; 2.4.8.5. platvormi haldusega seotud protsesside loomist, dokumenteerimist ja koolitust ning tutvustamist. 2.4.9. Tehnilise kirjelduse p-st 2.14. tuleneb, et XDR (inglise keeles ’Extended Detection and Response’, eesti keeles ’Laiendatud tuvastus ja vaste’6), EDR (inglise keeles ’Endpoint detection and response’, eesti keeles ’lõppseadme tuvastus ja vaste7) ning EPP (inglise keeles ’endpoint protection’, eesti keeles ’lõppseadme kaitse) on hangitava küberturbe platvormi juurde kuuluvad komponendid, mis peavad vastama tehnilise ettepaneku p-des 1-3 toodud tingimustele. 2.4.10. Analoogia korras võib tuua näite, et EPP füüsilises maailmas on nt maja akendel või ustel olevad lukud. EDR on kaamerad tubades, mis jälgivad ja avastavad, kui maja akende või uste lukud on lahti murtud ja ustest või akendest on juba sisse tungitud. XDR laiendab kaitse teistesse kohtadesse (IT-maailmas kihtidesse), mis toimub maja ümber, kas väravast on keegi sisse tulnud, kas korstna kaudu üritab keegi sisse tungida jne. 2.4.11. XDR, EDR ning EPP’i puhul on tegemist üksnes küberturbe platvormi juurde kuuluvate komponentidega, kuivõrd tegemist on küberturbeohtude vastu reaalselt võitlevate komponentidega. 2.5. SIEM teenus 6 vaste tähendab siin kontekstis mingi konkreetse küberohu tõkestamist 7 Samas 5/12 2.5.1. Tehnilise kirjelduse p 2.4. sätestab nõude, et „Pakkuja seireteenus sisaldab turbe teabe ja sündmuste haldust (edaspidi SIEM) teenusena (SaaS), kuhu on võimalik saata hankija alglogisid logide tekke kohast või hankija kesksest logihaldus süsteemist (nt ELK stack) hilisemaks küberturbe analüüsi teostamiseks. Lühend „SIEM“ tähendab inglise keeles „security information and event management“ ehk infoturbe teabe ning sündmuste haldus, mis aitab tuvastada potentsiaalseid turvasündmuseid ja haavatavusi. 2.5.2. SIEM ise ei ole seega küberturbe platvorm, vaid üks komponent, mis haldab ja analüüsib infoturbe teavet ning sündmuseid. Vaidlustaja väidab, et tema poolt pakutav nn primaarne platvorm on *** ning mitte ***, nagu on vaidlustaja on tehnilise ettepaneku p-s 1 nimetanud. Hankijale jääb täiesti arusaamatuks, mille alusel nimetab vaidlustaja primaarseks platvormiks SIEM lahendust. ***’i puhul ei ole faktiliselt tegemist küberturbe platvormiga, vaid infoturbe ja sündmuste haldamise komponendiga (SIEM teenusega), mis peab omakorda „suhtlema“ küberturbe platvormiga, s.o saatma ja vastu võtma küberturbe platvormi kogutud andmeid, mida SIEM lahendus analüüsib ja vastavalt reeglitele loob intsidendi teavituse ja/või käivitab küberturbe platvormis võimalikud automeeritud vastutegevused või reageerib teavitusele 24/7 valves olev seireteenuse meeskond. Vastutegevused realiseerib aga küberturbe platvorm ja tema komponendid (EPP/EDR/mõningal juhul ka XDR). Hankija ei ole kusagil RHAD-is nõudnud SIEM lahenduse esitamist hankija arvutitesse ja/või serveritesse laetava tarkvaralise platvormina. 2.5.3. Tehnilise kirjelduse p-st 2.4. tuleneb selgelt ja üheselt, et hankija on soovinud hankida nn SIEM teenust nö pilvetarkvarana (SaaS). Tegemist on lühendiga, mis on IT-valdkonnas tegutsevatele isikutele üheselt selge ja mõistetav. 2.5.4. Tehnilise kirjelduse p-s 2.4. sulgudes nimetatud lühend „SaaS“, inglise keeles „Software-as-a-service“ on pilvandmetöötluse pakkumine teenusepakkuja määratud tarkvara rentimisena, millisel juhul pakutakse tarkvara teenusena interneti vahendusel selliselt, et selle konkreetse teenuse tarbija ei pea rakendusi oma arvutitesse installima ja käitama, mis omakorda lihtsustab tarkvara hooldust. 2.5.5. Kuivõrd hankija on SIEM teenust soovinud hankida teenusena (SaaS), siis ei ole hankija jaoks oluline ning hankija ei ole RHAD-is pakkujate käest ka küsinud, millist platvormi pakkuja oma pakkumuses SIEM teenuse osutamiseks kasutab. Hankija ei ole pidanud vajalikuks pakkujate ringi sellise nõudmisega piirata, kuivõrd SIEM teenuse pakkumiseks on tehniliselt erinevaid võimalusi, sh platvorme (tarkvaralisi lahendusi). 2.5.6. Kuna hankija jaoks ei ole oluline, millist platvormi pakkuja SIEM teenuse osutamiseks kasutab, siis ei rakendu sellisel juhul talupoja loogikat kasutades tehnilise kirjelduse p-des 4.2.3., 6.1. ning 6.2. toodud nõuded mitte SIEM teenuse osutamiseks kasutatavale platvormile, vaid justnimelt küberturbe platvormile. 2.5.7. Vaidlustuse p-s 16 toodud viide tehnilise kirjelduse p-dele 2.21. ning 3.21. on kontekstist välja rebitud, püüdes ilma igasuguse adekvaatse põhjenduseta väita, et kõikidest platvormidest, mida hankes pakutakse, on primaarseim just SIEM lahenduse platvorm. Tehnilise kirjelduse p 2.21. sätestab, et „Hankijale tagatakse vähemalt lugemisõigustega juurdepääsud seireteenuse kasutatavatele platvormidele (SIEM, XDR/EDR/EPP) sündmuste analüüsiks.“ ning tehnilise kirjelduse p 3.21. sätestab, et „Hankijale tagatakse lugemisõigusega juurdepääsud 6/12  vasteteenuses kasutatavatele platvormidele (SIEM, XDR/EDR/EPP, SOAR võimekusega) sündmuste analüüsiks.“ Tehnilise kirjelduse punktid 2.21. ning 3.21. kehtestavad pakkujale üksnes nõude, et hankija soovib kõikidele platvormidele (vähemalt) lugemisõigustega juurdepääse ning seda selleks, et hankija oleks ka ise pidevalt kursis, milline info neil platvormidel liigub ning millised küberturbeohud hankijat igapäevaselt ohustavad. Tegemist ei ole punktidega, mis viitavad, milline platvorm on primaarseim. Selleks tuleb vaadata RHAD-i tervikuna. 2.6. Tehnilise kirjelduse p-d 4.2.3., 6.1. ning 6.2. kohalduvad pakutavale küberturbe platvormile 2.6.1. Kuivõrd vaidlustaja seisukohad tuginevad väärale eeldusele, justkui ei soovinud hankija mingisugust konkreetset platvormi hankida, siis on käesoleva vastuse p-des 2.1.-2.5. ning nende alapunktides toodule tuginedes väär vaidlustaja seisukoht, mille kohaselt soovis hankija, et pakkuja oleks mistahes hankes pakutava platvormi omanik või omaniku volitatud edasimüüja või lepinguline partner. Samal põhjendusel on väär vaidlustaja seisukoht, mille kohaselt peab pakkuja olema mistahes platvormi kuuluvate toodete sertifitseeritud partner ning omama mistahes platvormi tootjapoolset tuge (tehnilise kirjelduse p-d 6.1. ning 6.2.). Ka tehnilise kirjelduse p-s 4.2.3. kirjeldatud nõudes peetakse silmas just küberturbe platvormi. 2.6.2. Tehnilise kirjelduse p-d 6 ning 7 pealkirjad on sõnastatud vastavalt „Küberturbe platvormi esindusõigused“ ja „Küberturbeplatvormi funktsionaalsed ja mittefunktsionaalsed nõuded“. 2.6.3. Tehnilise kirjelduse p-d 6.1. ning 6.2. peavad olema täidetud pakkuja poolt täidetud küberturbe platvormi osas, mitte pakkuja poolt pakutava SIEM lahenduse osas. Vaidlust ei ole selles, et vaidlustaja tehnilise ettepaneku p-s 4.1. on vaidlustaja küberturbe platvormina nimetanud „***’i“. Kuivõrd ***’i puhul ei ole faktiliselt tegemist küberturbe platvormiga, vaid infoturbe ja sündmuste haldamise komponendiga (SIEM), siis ei vasta vaidlustaja pakkumus RHAD-is sätestatud tingimustele. Vaidlustuse p-s 26 viidatud *** ei ole samuti küberturbe platvorm, tegemist on automatiseerimis- ja reageerimisteenus ehk SOAR teenusega (vt tehnilise kirjelduse p 3.21.), mis kuulub häirekeskuse vasteteenuse alla ning on osa mehitatud häirekeskuse SOC (inglise keeles ’Security Operation Center’) teenusest (vt täiendavalt käesoleva vastuse p-te 2.3.4. ning selle alapunkte). 2.6.4. Tehnilise kirjelduse p 4.2.3. sätestab, et vähemalt kahel kriitilise intsidendi meeskonna liikmel peab olema pakutava platvormi vajalikele haldustegevustele vastav tootja sertifikaat. Vaidlustaja väidab, et vaidlustaja võis nõutava sertifikaadi esitada ükskõik millise platvormi kohta ning esitas selle oma SIEM lahenduse kohta. Siin puudub mistahes loogika, kuna hankija hangib küberturbe platvormi keskse tarkvara lahendusena ning hankija vajab tootjapoolset tuge ning platvormi vajalikele haldustegevustele vastavaid sertifikaate justnimelt küberturbe platvormi tarkvaralisele lahendusele, kuivõrd see on ainus platvorm, mis paigaldatakse reaalselt hankija arvutitesse, osaliselt serveritesse ning üksnes küberturbe platvormi keskhaldust hangib hankija pilveteenusena (vt tehnilise ettepaneku p 4.1.) SIEM teenus on vaid üks komponent mehitatud häirekeskuse SOC (inglise keeles ’Security Operation Center’) teenusest (vt käesoleva vastuse p-i 2.3.4 ning selle alapunkte), mida hankija hangib vaid pilveteenusena ning mis sisuliselt 7/12  teenindab häirekeskuse 24/7 mehitatud seire- ja vasteteenuse tööd (vt tehnilise kirjelduse p-i 3 ning selle alapunkte). 2.6.5. Samal põhjendusel nagu toodud käesoleva vastuse p-s 2.6.4., on hankijale vajalik, et vaidlustaja oleks justnimelt pakutava küberturbe platvormi omanik või omaniku volitatud edasimüüja või lepinguline partner (tehnilise kirjelduse p 6.1.) ning pakkuja peab olema küberturbe platvormi kuuluvate toodete sertifitseeritud partner ja omama otsekontakti tootjapoolsete kinnitustega või väljavõttega tootja kodulehelt. 2.6.6. Käesoleva vastuse p-des 2.1.-2.6. ning nende alapunktides toodud põhjendustel oleks vaidlustaja pidanud tehnilise kirjelduse p 4.2.3. nimetatud sertifikaadid hankijale esitama just küberturbe platvormi kohta ning tehnilise kirjelduse p-des 6.1. ning 6.2. nimetatud tõendid samuti küberturbe platvormi kohta. Kui vaidlustajale jäi arusaamatuks, millise konkreetse platvormi kohta pidi vaidlustaja sertifikaadid või muud tõendid esitama, siis oli vaidlustajal võimalik esitada hankijale täpsustavaid küsimusi, seda vaidlustaja paraku ei teinud. 2.7. Vaidlustaja poolt pakutud küberturbe platvormil *** puuduvad RHAD-is nõutud funktsionaalsused 2.7.1. Hankija on oma otsuse p-s 12 välja toonud, et hankijale teadaolevalt puuduvad vaidlustaja pakkumuse tehnilise ettepaneku vormi p-des 2.11., 2.12., 2.13., 2.20. ning 2.30. nõutavad funktsionaalsused, mille osas vaidlustaja on kinnitanud, et need funktsionaalsused eksisteerivad. 2.7.2. Küberturbe platvormi *** osas ei olnud hankijal avalikest allikatest nagu näiteks tootja kodulehekülg võimalik leida platvormi täpseid spetsifikatsioone. Hankija sai avalikest allikatest (nagu foorumid, artiklid, blogi postitused jms) vihjeid, et *** ei pruugi vastata teatud funktsionaalsustele, kuid millede osas on vaidlustaja kinnitanud ja kinnitab ka vaidlustuse p-s 32, et tema pakutav platvorm vastab. Näiteks Reddit postitusest *** tuleb välja, et *** platvormil ei ole tehnilise ettepaneku punktis 2.30 nõutud rakenduskontrolli funktsionaalsust. Kuna tegemist pole ametlike tootja poolsete kinnitustega, vaid erinevate spetsialistide arvamustega foorumis, siis ei saanud hankija sellest informatsioonist lähtuda. 2.7.3. Hankija on rahvusvahelise organisatsiooni Health ISAC (edaspidi H-ISAC) liige, mis koondab tervishoiusektori info- ja küberturbevaldkonna spetsialiste, eksperte, juhte ja platvormide tootjaid ja tarnijaid, sealhulgas väga palju Ameerika Ühendriikide *** kliente ja *** ettevõttena on samuti H-ISAC liige. Hankija saavutas H-ISAC organisatsiooni vahendusel otsekontakti küberturbeplatvormi tootja *** müügijuht ***’ga (edaspidi müügijuht) Ameerika Ühendriikides. Hankija esitas müügijuhile platvormi valideerimiseks riigihankes esitatud funktsionaalsuste kontrollimiseks päringu funktsionaalsuste kohta, mille osas oli hankijal eelneva info kogumise käigus mittevastavuse kahtlus tekkinud. Kuna hankijal ei ole sõlmitud *** tootjaga konfidentsiaalsuslepingut, siis müügijuht ametliku dokumentatsiooni *** platvormi osas esitada ei saanud. Küll aga luges hankija piisavaks platvormi tootja müügijuhi poolt 26.11.2024 e-kirja teel (edaspidi e-kiri, lisa 1) kinnitused funktsionaalsuste osas, mis hankijat huvitas. Hankija küsis müügijuhilt e-kirjas inglise keeles, kas ***’il esinevad alltoodud tehnilises ettepanekus toodud funktsionaalsused ning müügijuht vastas alljärgnevalt. 8/12  2.7.4. Pakkumuse tehnilise ettepanku vormi tabelis Tase I funktsionaalsustena märgitud punktis 2.11. „Analüüsitavate failide maksimaalset suurust on võimalik konfigureerida“. Müügijuhi vastus e-kirja punktis 3: „See ei ole konfigureeritav.“ (inglise keeles „This is not configurable.”. Sellest järeldub, et tehnilise ettepaneku p-s 2.11. toodud nõue ei ole täidetud. 2.7.5. Pakkumuse tehnilise ettepanku vormi tabelis Tase I funktsionaalsustena märgitud punktis 2.12. „Arhiivifailide (pakitud, zip, rar jne) analüüsimine.“ Müügijuhi vastus e-kirja punktis 4: „Arhiivi faile ei skaneerita.“. Iinglise keeles: „Archive file types are not scanned.”. Sellest järeldub, et tehnilise ettepaneku p-s 2.12. toodud nõue ei ole täidetud. 2.7.6. Pakkumuse tehnilise ettepanku vormi tabelis Tase I funktsionaalsustena märgitud punktis 2.13. „Arhiivifailidele on võimalik määrata pakkimistasemete piirang.“. Müügijuhi vastus e-kirja punktis 5: „Ei ole saadaval.“. Inglise keeles: „N/A” lühendina ehk sõnades välja kirjutatuna not available. Eeltoodu tähendab, et tehnilise ettepaneku p-s 2.13. toodud nõue ei ole täidetud. 2.7.7. Pakkumuse tehnilise ettepanku vormi tabelis Tase I funktsionaalsustena märgitud punktis 2.20. „Tulemüüril on võimekus tuvastada ja blokeerida skanneeringuid (OS fingerprinting, null scan, SYN FIN scan, port scan jne).“ Müügijuhi vastus e-kirja punktis 2: „***“. Inglise keeles: „***“. Sellest järeldub, et tehnilise ettepaneku p-s 2.20. toodud nõue ei ole täidetud. 2.7.8. Pakkumuse tehnilise ettepanku vormi tabelis Tase I funktsionaalsustena märgitud punktis 2.30. „Lahendus võimaldab teostada toetatud operatsioonisüsteemides käivitatavate (executable) failide rakenduskontrolli, /…/“ on vaidlustaja märkinud, et pakutav tarkvara vastab nendele nõuetele. Müügijuhi vastus e-kirja punktis 1: „Kuigi meil on võimalik blokeerida faile erinevate vahenditega, ei ole ***'i näol tegemist rakenduste kontrollimisega. Nende nõuete täitmiseks teeme koostööd ***.“. Inglise keeles: „While we do have the ability to block files by various means, *** is not an application control product. We partner with *** for these requirements.”. Sellest järeldub, et tehnilise ettepaneku p-s 2.20. toodud nõue ei ole täidetud, tehnilise ettepaneku punktis 2.30. nõutud funktsionaalsuste täitmiseks peab *** platvormile lisaks olema ka *** platvorm, mida vaidlustaja hankes ei pakkunud ega lisanud ka ühtegi viidet, mille kaudu hankijal oleks võimalik olnud tuvastada, et pakkuja pakub lisaks ka *** platvormi. 2.8. Osutatava teenuse töökeel 2.8.1. Tehnilises kirjelduses on sätestatud, et kõiki pakutud teenuseid osutatakse üldjuhul töökeelena eesti keeles. Erandjuhtudel aktsepteerib hankija töökeelena inglise keelt. Erandjuhtudena on hankija tehnilises kirjelduses aktsepteerinud järgmisi olukordi - nt vastavat erialaeksperti, kes valdaks eesti keelt, ei ole võimalik saada, teenuse osutamisel on otstarbekas kasutada otse tootja tuge vmt. 2.8.2. Eesti keele seletava sõnaraamatu järgi tähendab sõna „erand“ milleski üldisest v. normaalsest kõrvalekalduvat v. erinev nähtus, omadus, asi, isik vms.8 Vaidlustaja on oma pakkumuse sisuga loonud hankija jaoks olukorra, kus erandist on saanud üldreegel ning üldreegelist erand. Hankija on soovinud, et kogu pakutav meeskond kasutab töökeelena üldreeglina eesti keelt ning üksnes sellistel erandjuhtudel, kus mingit kindlat erialaeksperti võimalik ei ole võimalik nt Eestist leida, on lubatud 8 https://arhiiv.eki.ee/dict/ekss/index.cgi?Q=reeglist 9/12  sellise eksperdiga suhtlemine inglise keeles. Samuti ei ole erandjuhuks peetav ka vaidlustaja poolt sisutühi väide, et x-keskkonda (platvormi) puudutavates küsimustes ongi alati mõistlik suhelda inglise keeles, jättes kõrvale tõsiasja, et vaidlustaja pidi pakkuma sertifikaate ning tootjatuge küberturbe platvormile, mitte SIEM ega SOAR lahendustele. 2.8.3. Tehnilise kirjelduse punktide 2.1., 3.5. ja 4.1. kohaselt peab pakkuja osutama teenuseid 24/7 (kaasa arvatud nädalavahetused ja riigipühad). Kui lähtuda eeldusest, et ühes aastas on 365 päeva, siis peab pakkuja olema valmis osutama teenust kokku ühes aastas vähemalt 8760 tundi (365*24). Vaidlustaja väidab, et kaks isikut, s.o *** ja ***, kelle emakeeleks on eesti keel, katavad ära suurema kui mitte kogu eestikeelse suhtluse vajaduse ning et ülejäänud tiimiliikmed on mõeldud peaasjalikult tegelema tehniliste raportite ja sündmuste teavitusega, millele väidetavalt eesti keele nõue ei kohaldu. Hankija ei nõustu sellise meelevaldse seisukohaga. 2.8.4. Vaidlustaja vastusest võib välja lugeda asjaolu, et vaidlustaja ei adu hästi, millisele asutusele ning millist kriitilise iseloomuga teenust ta hankijale tervikuna pakub. Kui mõne vaenuliku riigi häkkerid tekitavad Eesti ühele juhtivale tervishoiuteenuse osutajale kriisiolukorra tehnilise kirjelduse p 3.5. tähenduses ning pakkuja peab sellele reageerima 30 minuti jooksul, siis on hankija ootus, et pakkuja poolt pakutav kriitilise intsidendi meeskond koosneb vastava valdkonna vähemalt kuuest parimast võimalikust spetsialistist. Hankija ootus ei ole selline, et kuuest spetsialistist vaid kaks suudavad eesti keeles suhelda ning neli neist on mõeldud ja suutelised tegelema vaid tehniliste raportite ja sündmuste teavitustega ning reaalse kriisiolukorra tekkides, millele reageerimiseks on tehnilise kirjelduse p 3.5. kohaselt ette nähtud 30 minutit, hakkab pakkuja kriisiolukorraga tegelemise asemel turult tõlketeenust otsima. Kriisiolukorrad võivad tekkida ka öösel, mis hankija jaoks tähendab seda, et sellisel juhul on hankija sunnitud suhtlema inglise keelt kõnelevate meeskonnaliikmetega inglise keeles, teadmata seejuures isegi seda, mis tasemel 4 eesti keelt mittekõnelevat meeskonnaliiget räägivad. 2.8.5. Tehnilise kirjelduse p-des 4.2.1. ning 4.2.2. on esitatud nõuded meeskonna liikmetele. Sh peab viiest meeskonna liikmest vähemalt kolm olema kehtiva CISSP (Certified Information System Security Professional) või CASP+ (CompTIA Advanced Security Practitioner) sertifikaadiga ja 2 spetsialisti omama vähemalt 3-aastast IT valdkonna töökogemust. Lisaks peab meeskonnas olema vähemalt üks spetsialist, kes omab vähemalt ühte kolmest kehtivat sertifikaadist: CCISO (Certified Chief Information Security Officer), CISM (Certified Information Security Manager) või CISA (Certified Information Systems Auditor). Veelkord, kõik meeskonna liikmed peavad olema oma ala parimad spetsialistid ning ei ole realistlik, et vaidlustaja tagab kogu nelja aasta töömahu 24/7 vaid kahe eesti keelt kõneleva isiku abil. Samuti ei ole kooskõlas tehnilises kirjelduses sätestatud tingimustega, et vaid kaks meeskonnaliiget kuuest räägivad töökeelena eesti keelt. Vaidlustaja on tõlgendanud tehnilises kirjelduses toodud kohustusliku töökeele tingimusi liiga laialt eesmärgiga saavutada endale vaidlustuses meelepärane tulem. 2.9. Hankijal oli kohustus lükata vaidlustaja pakkumus tagasi 2.9.1. RHS § 114 lg 2 esimesest lausest tulenevalt võib pakkumuse mittevastavus tuleneda kahest peamisest põhjusest: pakkumus on sisuliselt mittevastav ehk ei 10/12  vasta hankija seatud tingimustele või pakkumus on esitatud niivõrd puudulikult, et hankijal ei ole võimalik isegi lisaselgituste küsimise tulemusena veenduda pakkumuse vastavuses kehtestatud tingimustele. 2.9.2. Kohtu- ja vaidlustuskomisjoni praktika kohaselt tuleb pakkumuse tagasilükkamise vaidlustes tuvastada, kas RHAD-s on sätestatud tingimused, millele hankija pakkumuse tagasilükkamisel tugines ning kui jah, siis kas pakkuja pakkumus nendele nõuetele vastab.9 Käesoleval juhul on RHAD-s sellised tingimused sätestatud. 2.9.3. Hankija tunnistas vaidlustaja pakkumuse mittevastavaks ja lükkas selle tagasi, sest pakkumuse vastavuse kontrollimisel, sh selgituste küsimise tagajärjel, selgus, et pakkumus ei vasta RHAD-is nõutule. 2.9.4. Hankija hinnangul on vaidlustaja pakkumuses esitatud puuduste puhul tegemist sisuliste puudustega. Pakkumuses sisuliste puuduste tuvastamisel ei ole hankijal kaalutlusruumi, kas tunnistada pakkumus vastavaks või mitte. Hankijal on kohustus sisulisi puuduseid sisaldav pakkumus tagasi lükata.10 Selgituste andmisega saab kõrvaldada üksnes pakkumuses esinevad ilmsed ebatäpsused ja vead, millega antud juhul tegemist ei ole. 2.10. Kokkuvõtlikult on hankija seisukohal, et hankija otsus vaidlustaja pakkumuse tagasilükkamiseks on kooskõlas RHS § 114 lg-ga 2 ning selle kehtetuks tunnistamiseks alused puuduvad. Vaidlustuse kohaselt on kolmanda isiku pakkumuse edukaks tunnistamise otsus vaidlustatud hankemenetluse etapiviisilisuse põhjusel (kui hankija ei oleks õigusvastaselt vaidlustaja pakkumust tagasi lükanud, siis oleks ta pidanud tunnistama edukaks vaidlustaja pakkumuse). Kuivõrd hankija on vaidlustaja pakkumuse õigesti tagasi lükanud, puuduvad ka põhjendused kolmanda isiku pakkumuse edukaks tunnistamise otsuse kehtetuks tunnistamiseks. Eelnevast tulenevalt palub hankija jätta vaidlustus täies ulatuses rahuldamata. 3. Menetluslikud küsimused 3.1. Hankija on nõus kirjaliku menetlusega. 3.2. Hankija palub jätta vaidlustusmenetluse kulud, sh vaidlustaja tasutud riigilõiv vaidlustaja kanda. Lugupidamisega /allkirjastatud digitaalselt/ Liisa Saamot Hankija volitatud esindaja 9 TlnRKo 3-13-643, p 13; VAKO 27.08.2024, 142-24/275604, p 8; 10 TlnHKo 3-15-2435, p 29. 11/12 Lisad: 1) *** 2) Volikiri 12/12  Meie: 19.10.2023 nr 2.1-3/8837-1 VOLIKIRI Sihtasutus Põhja-Eesti Regionaalhaigla registrikoodiga 90006399 (edaspidi Regionaalhaigla) seaduslik esindaja juhatuse esimees Agris Peedu volitab Aivi Karu (isikukood 47411260306) Liisa Saamot´it (isikukood 48501095218) Nataly Sonk-Bahharev´i (isikukood 47703150323) Marika Rüütli´t (isikukood 47908022223) Janika Pajula´t (isikukood 47905155226) esindama Regionaalhaiglat: 1) kõigis kohtutes tsiviil-, haldus- ja kriminaalasjades; 2) riigihangete vaidlustuskomisjonis; 3) Tööinspektsiooni töövaidluskomisjonis ja 4) kõigis riigi ja kohaliku omavalitsuse asutustes Regionaalhaigla osas või osalusel toimuvates haldusmenetlustes kõigi õigustega, mis Eesti Vabariigis kehtivad õigusaktid on ette näinud menetlusosalistele, sh õigusega dokumente esitada ja nõuda. Käesolev volikiri tühistab 08.09.2023 aasta volikirja nr 2.1-3/7583-1. Volikiri kehtib iga volitatu osas kuni tema töölepingulise suhte lõppemiseni Regionaalhaiglas ning on välja antud ilma edasivolitamise õiguseta. (allkirjastatud digitaalselt) Agris Peedu juhatuse esimees