Vaidlustus

18.11.2024 VAIDLUSTUS Riigihange: „Turvatestimise teenuse hange“ viitenumber: 283360 Vaidlustaja: Wisercat Estonia OÜ registrikood: 14133207 aadress: Tartu mnt 80f, 10112 Tallinn Vaidlustaja esindajad: Erki Fels, vandeadvokaat Gregor Saluveer, vandeadvokaadi abi Advokaadibüroo TGS Baltic e-post: [email protected] Hankija: Eesti Pank registrikood: 74000174 aadress: Estonia pst 13, 15095 e-post: [email protected] TAOTLUSED 1. Tunnistada kehtetuks Eesti Panga 07.11.2024 otsus jätta Wisercat Estonia OÜ kvalifitseerimata. 2. Jätta Wisercat Estonia OÜ menetluskulud Eesti Panga kanda. 1. ASJAOLUD 1.1. Eesti Pank (hankija) viib avatu hankemenetlusena läbi riigihanget „Turvatestimise teenuse hange“ (vr 283360) (riigihange). 1.2. 07.11.2024 tegi hankija mh otsuse jätta Wisercat Estonia OÜ (vaidlustaja) kvalifitseerimata. 1.3. Hankija otsus on õigusvastane. 2. PÕHJENDUSED 2.1. Hankija põhjendab oma otsust nõnda: „Pakkuja meeskonnas pidi olema vähemalt 3 turvatestimise kvalifikatsiooniga spetsialisti, kellel on vähemalt 3-aastane kogemus hankelepingu esemega sarnaste teenuste osutamisel. Pakkujal on selliseid spetsialiste 2. Spetsialistil Ilie Teodor on hankes nõutud kogemus alates 01.2022. Hankija ei loe spetsialisti varasemat kogemust kvaliteedikontrolli insenerina võrdväärseks turvatestimise teenuse osutamisega.“ 2.2. Hankija otsus põhineb seega arvamusel, et spetsialistil Teodor Ilie ei ole 3-aastast kogemust „hankelepingu esemega sarnaste teenuste osutamisel“. Hankija eksib. 2.3. Teodor Iliel on olemas 3-aastane töökogemus hankelepingu esemega sarnaste teenuste osutamisel. Igas kolmes töökohas, mis on CV-s välja toodud, on spetsialisti töö sisuks olnud mh veebirakenduste turvatestimine OWASP ASVS versioon 4.0 tase 1, 2 või 3 alusel, testimise raporti koostamine ning leitud vigade järelkontroll. See hõlmab eneses ka „Red/Purple Teaming“ läbistustesti kogemust ja pädevust eesmärgiga tuvastada infosüsteemi haavatavusi ja selle Advokaadibüroo TGS Baltic AS Ahtri 6a, 10151 Tallinn Kaluri 2, 51004 Tartu [email protected] Telefon +372 626 4300 Telefon +372 730 1610  kaitsmise nõrkuseid lähtudes TIBER EU testiraamistikust, testimise raporti koostamist ja leitud vigade järelkontrolli. 2.4. CV-s on märgitud, et perioodil 07.2019 kuni 01.2022 töötas spetsialist ettevõttes Keysight Ixia kvaliteedikontrolli insenerina. Keysight Ixia ettevõtlus on turvatestimise seadmete müümine. 1 Seega oli Teodor Ilie igapäevane töö veebirakenduste turvatestimine. Pärast Keysight Ixiat siirdus Teodor tööle turvatestijana ettevõttesse Infosys Consulting, kus tegeles samuti igapäevaselt veebirakenduste turvatestimisega. 2.5. Hankijale on tõenäoliselt jäänud eksiarvamus seetõttu, et Teodor Ilie sai OSCP sertifikaadi 2022. aasta keskel, mis justkui viitab, et turvatestimisega on spetsialist tegelenud alles sellest ajast. See ei ole tõsi: sertifikaadi olemasolu ei ole turvatestimise eelduseks (ja vastupidi, sertifikaat ei näita, et isik tegelikult turvatestimisega tegeleb). 2.6. Sertifikaadi tegi spetsialist Infosys Consulting juures töötades ja sel põhjusel, et Infosys Consulting müüb turvatestimist teenusena. Majast välja teenust müües on sertifikaat oluline, kuna see on klientidele kvaliteedimärk (samal põhjusel nõuab hankija sertifikaadi selles riigihankes). Keysight Ixia juures töötades ei olnud sertifikaati vaja, kuna Keysight Ixia müüb turvatestimise seadmeid, mitte ei müüda klientidele turvatestimise teenust. Teodor Ilie tegeles kvaliteedikontrolli insenerina küll igapäevaselt turvatestimisega, kuid majasiseselt, mitte väljapoole. Kui ettevõte on ise veendunud töötaja pädevuses ja töötaja ei müü klientidele teenust (vaid töötab ettevõtte poolt müüdavate seadmete parendamisega), ei ole sertifikaadi olemasolu ettevõttele oluline. 2.7. Hankija hinnang, et Teodor Ilie varasem kogemus kvaliteedikontrolli insenerina ei ole võrdväärne turvatestimise teenuse osutamisega, on seega põhimõtteliselt väär. 2.8. Kuigi spetsialistil on olemas kogemus just turvatestimisega, ei ole hankija tegelikult isegi nõudnud turvatestimise kogemust, vaid „hankelepingu esemega sarnast“ kogemust. Mida see täpsemalt tähendab, RHADis defineeritud pole. Kahtluse korral tuleb hanketingimusi tõlgendada ettevõtjale soodsamal viisil; konkurentsi laiendavalt, mitte kitsendavalt. See põhimõte on juurdunud nii VAKO 2 , halduskohtu 3 kui ringkonnakohtu 4 praktikas. Hankija on talitanud vastupidi ja tõlgendanud kvalifitseerimise tingimust kitsendavalt. 3. MENETLUSLIKUD KÜSIMUSED 3.1. Esindus. Vandeadvokaat Erki Fels ja vandeadvokaadi abi Gregor Saluveer kinnitavad, et on vaidlustaja lepingulised esindajad (RHS § 190 lg 11). 3.2. Tähtaegsus. Hankija tegi otsuse 07.11.2024 ja see saadeti vaidlustajale 12.11.2024. Vaidlustus on tähtaegne (RHS § 189 lg 1). 3.3. Läbivaatamine. Vaidlustaja on nõus kirjaliku menetlusega (RHS § 190 lg 1 p 6). 3.4. Esitamine. Vaidlustus on esitatud VAKO-le e-posti teel ([email protected]). Lugupidamisega (digitaalselt allkirjastatud) Erki Fels, Gregor Saluveer, vandeadvokaat vandeadvokaadi abi 1 https://www.keysight.com/us/en/home.html 2 VAKO 73-17/183856, p 15; VAKO 196-19/215947, p 18; VAKO 256-10/121397, p 10. 3 TlnHKo 3-16-924, p 15; TlnHKo 3-16-277, p 11. 4 TlnRnKo 3-18-2338, p 27; TlnRnKo 3-09-3081, p 12. 2/2