Certyfikacja platform zakupowych w zamówieniach publicznych

Treść tego artykułu w znacznym stopniu straciła aktualność w związku ze zmianą przepisów regulujących sprawy cyberbezpieczeństwa. Tym niemniej wydaje się, że problem pozostał aktualny.

W dniu 11 września 2023 roku w miejscowości Białobrzegi odbyły się warsztaty zorganizowane przez Urząd Zamówień Publicznych. Jednym z omawianych, bardzo ważnych tematów był proces certyfikacji platform wspomagających udzielanie zamówień publicznych.

W ostatnim czasie problematyka certyfikacji platform wspomagających udzielanie zamówień publicznych zyskuje na znaczeniu, wywołując liczne pytania i wątpliwości. Najważniejsze spośród tych pytań to:

1. Czy istnieje konieczność certyfikacji komercyjnych platform do elektronicznych zamówień publicznych?
2. Jakie funkcjonalności powinny być brane pod uwagę przy certyfikacji?
3. Czy korzystanie z platform, które nie posiadają certyfikatu, powinno być dozwolone?
4. Jakie zmiany w przepisach mogą być konieczne w związku z wprowadzeniem certyfikacji?
5. Kto powinien być odpowiedzialny za nadawanie certyfikatów platformom e-zamówień?
6. W jaki sposób sfinansować koszty związane z procesem certyfikacji?

Postaram się odpowiedzieć na wszystkie wyżej wymienione pytania, biorąc pod uwagę różne aspekty związane z certyfikacją platform e-zamówień, przy czym przedstawiane odpowiedzi stanowią wyłącznie moje osobiste spojrzenie na tę kwestię.

Czy certyfikować?

Jedną z podstawowych funkcjonalności komercyjnych platform e-zamówień jest odbiór dokumentów elektronicznych, zawierających wnioski o dopuszczenie do udziału w postępowaniu lub konkursie, wniosków o których mowa w art. 371 ust. 3 Pzp, ofert oraz prac konkursowych.

Art. 68 Pzp wprowadza obowiązek, zgodnie z którym konieczne jest zapewnienie integralności, autentyczności, nienaruszalności danych i ich poufności w ramach wymiany i przechowywania informacji, w tym zapewniających możliwość zapoznania się z ich treścią wyłącznie po upływie terminu na ich składanie.

Bardziej szczegółowe wymagania wprowadza Rozporządzenie Prezesa Rady Ministrów z dnia 30 grudnia 2020 r. w sprawie sposobu sporządzania i przekazywania informacji oraz wymagań technicznych dla dokumentów elektronicznych oraz środków komunikacji elektronicznej w postępowaniu o udzielenie zamówienia publicznego lub konkursie¹. Są one sformułowane w § 11 ust. 1 tego rozporządzenia i obejmują:

1. spełnienie wymagań przewidzianych dla systemu teleinformatycznego w rozumieniu art. 3 pkt 3 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne² odpowiadające minimalnym wymaganiom określonym w przepisach³ wydanych na podstawie art. 18 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne;
2. zapewnienie zachowania poufności i integralności danych w ramach wymiany i przechowywania tych dokumentów;
3. zapewnienie autentyczności źródła danych i niezmienność danych po ich kompresji do pliku⁴;
4. zapewnienie identyfikacji podmiotów przekazujących te dokumenty oraz ustalenie dokładnego czasu i daty odbioru tych dokumentów;
5. zapewnienie ochrony przed nieautoryzowanym dostępem do treści tych dokumentów przed upływem wyznaczonych terminów ich otwarcia albo składania;
6. umożliwienie ustalania oraz zmiany ustalonych terminów pierwszego zapoznania się z treścią tych dokumentów wyłącznie przez osoby uprawnione przez zamawiającego;
7. umożliwienie podczas poszczególnych etapów postępowania lub konkursu dostępu do całości lub części treści tych dokumentów wyłącznie osobom uprawnionym przez zamawiającego oraz zapewniają rozliczalność tych działań;
8. umożliwienie, po określonej dacie, udostępnienia osobom trzecim całości lub części treści tych dokumentów wyłącznie przez osoby uprawnione przez zamawiającego oraz zapewniają rozliczalność tych działań;
9. zapewnienie ochrony informacji zawierających dane osobowe oraz innych informacji podlegających prawnej ochronie;
10. umożliwienie usunięcia oferty albo wniosku o dopuszczenie do udziału w postępowaniu lub konkursie w sposób uniemożliwiający ich odzyskanie i zapoznanie się przez użytkowników z ich treścią;
11. posiadanie wbudowanych funkcji umożliwiających okresowe automatyczne wykonywanie kopii bezpieczeństwa;
12. zapewnienie możliwości praktycznego zagwarantowania jednoznacznego wykrycia ewentualnego naruszenia lub próby naruszenia wymagań, o których mowa w pkt 4 i 5–10.

Każdy zamawiający, rozważając zakup określonej komercyjnej platformy do elektronicznych zamówień publicznych musi mieć pewność, że spełnia ona wszystkie wymagania określone w obowiązującym rozporządzeniu. To jest kluczowe dla prawidłowego przebiegu procesów zamówień publicznych.

Zazwyczaj, pewność ta opiera się wyłącznie na oświadczeniach dostawcy platformy, które w większości przypadków są zapewne prawdziwe i rzetelne. Jednak nie można ignorować możliwości wystąpienia sytuacji, w których dostawca komercyjnej platformy może nie spełnić wszystkich wymagań lub przekazywać informacje, które nie odzwierciedlają rzeczywistych cech oferowanej platformy. Dlatego też istnieje konieczność uwzględnienia nie tylko oświadczenia dostawcy, ale również wprowadzenia pewnych mechanizmów i procedur w celu zweryfikowania, czy platforma faktycznie spełnia obowiązujące normy i regulacje.

Przy rozważaniu celowości wprowadzenia certyfikacji dla platform e-zamówień, należy skupić się przede wszystkim na kontekście cyberbezpieczeństwa. Ocena poziomu bezpieczeństwa danej platformy stanowi kluczowy aspekt, jednak samodzielne przeprowadzenie tego rodzaju analizy przez zamawiającego może okazać się zadaniem trudnym i kosztownym.

Platformy e-zamówień to narzędzia, które mają na celu usprawnienie całego procesu od strony technicznej i organizacyjnej. W trakcie korzystania z tych platform, zarówno zamawiający, jak i wykonawcy, wprowadzają do systemu wiele różnorodnych danych, w tym dane wrażliwe. Dostęp do tych informacji powinien być ograniczony tylko do upoważnionych użytkowników, a to wymaga zastosowania odpowiednich mechanizmów uwierzytelniania, identyfikacji oraz autoryzacji.

Celem uwierzytelniania jest weryfikacja czy tożsamość użytkownika podana w procesie identyfikacji jest prawdziwa. Jeśli tak, autoryzacja ma za zadanie przyznać uprawnienia odpowiednie dla danej osoby⁵. Cały proces identyfikacji, uwierzytelniania i autoryzacji powinien przebiegać w sposób zapewniający możliwie największe bezpieczeństwo, bowiem zamówienia publiczne mają często znaczną wartość liczoną nawet w setkach milionów złotych.

Skutki dostępu do danych zgromadzonych na platformie e-zamówień przez osobę nieuprawnioną mogą być bardzo poważne. Mogą prowadzić do ogromnych strat środków publicznych lub pozbawić rzetelnego wykonawcę możliwości uzyskania zamówienia.

Odrębnym problemem, który może wystąpić przy nawet bardzo dokładnej, np. wieloskładnikowej (MFA)⁶ weryfikacji użytkownika jest funkcjonalność platformy polegająca na składaniu ofert, wniosków i prac konkursowych.

Prawo zamówień publicznych wyraźnie wskazuje w art. 221, że zamawiający musi zapewnić, aby z zawartością ofert nie można było zapoznać się przed upływem terminu ich otwarcia. Podobnie w przypadku wniosków składanych w przetargu ograniczonym art. 145 wprowadza zakaz zapoznania się z ich zawartością przed upływem terminu na ich składanie. W przypadku prac konkursowych, art. 346 zabrania sądowi konkursowemu zapoznania się z zawartością prac konkursowych przed upływem terminu do ich składania⁷.

Poza przepisem dotyczącym ofert (art. 221) ustawa nie wskazuje wprost, kto jest odpowiedzialny za czasową ochronę zawartości wniosków i prac konkursowych. Domniemywać jednak należy, że odpowiedzialność ta, podobnie jak w przypadku ofert, spoczywa na zamawiającym⁸. Skoro to zamawiający odpowiada za zapewnienie poufności dotyczącej ofert, wniosków i prac konkursowych, powinien mieć pewność, że platforma e-zamówień, na którą się zdecydował, spełnia warunki wynikające z przepisów prawa.

Platforma powinna zatem być wyposażona w taką funkcjonalność, która gwarantuje, że nikt nie uzyska dostępu do ofert, wniosków i prac konkursowych, w sytuacji, której zabraniają przepisy ustawy.

Słowo NIKT należy rozumieć dosłownie. Obejmuje ono także personel dostawcy platformy. Nie żyjemy niestety w świecie idealnym, a pokusa czasem znacznych zysków, które można osiągnąć ujawniając treść oferty określonym osobom może skłonić do nieuczciwości.

Weryfikacja e-platformy pod kątem cyberbezpieczeństwa wymaga specjalistycznej wiedzy, której trudno oczekiwać od zamawiających decydujących się na jej zakup. Weryfikację można oczywiście powierzyć specjalistycznej firmie, ale to wymaga przeprowadzenia całej procedury zakupowej i wiąże się z poniesieniem prawdopodobnie dość znacznych kosztów.

Tu nasuwa się dość oczywiste rozwiązanie, które polega właśnie na certyfikowaniu platform. Weryfikacja poszczególnych platform przeprowadzana centralnie zwolniła by zamawiających z konieczności jej ponownego przeprowadzania. W takim przypadku wystarczy by zamawiający chcąc mieć pewność, że wybrana przez niego platforma e-zamówień spełnia wymagania cyberbezpieczeństwa, postawi warunek posiadania przez nią ważnego certyfikatu.

Co certyfikować?

Szacuje się, że na naszym rynku dostępnych jest obecnie kilka komercyjnych platform wspomagających proces udzielania zamówień publicznych. Platformy te różnią się w dość znacznym stopniu swoją funkcjonalnością. Ponadto funkcjonalność platform ulega ciągłym zmianom. Dostawcy platform, rywalizując między sobą wprowadzają systematycznie nowe funkcje.

Powstaje pytanie, czy uzyskanie certyfikatu powinno być uzależnione od funkcjonalności jaką posiada badana platforma? Czy w procesie certyfikacji powinny być poddane poszczególne funkcjonalności, a jeśli tak to które? Zdaniem autora odpowiedź na obydwa pytania powinna brzmieć — NIE.

Platformy powinny być badane wyłącznie pod kątem bezpieczeństwa. Wszystkie pozostałe funkcjonalności traktować można jako fakultatywne i to wyłącznie zamawiający decydując się na zakup określa, które funkcjonalności uzna za niezbędne.

Dla uzyskania certyfikatu konieczne byłoby wyłącznie badanie, czy proces identyfikacji, uwierzytelniania i autoryzacji stosowany w danej platformie spełnia wymogi bezpieczeństwa oraz, czy dostęp do zawartości ofert, wniosków i prac konkursowych jest chroniony zgodnie z wymogami odpowiednich przepisów prawa sformułowanymi w ustawie oraz rozporządzeniu.

Warunki uzyskania certyfikatu powinny być bardzo precyzyjnie określone i podane do wiadomości dostawcom platform. Wymagania stawiane platformom powinny być dostosowane do faktycznych potrzeb i w żadnym przypadku nie powinny dyskryminować tych platform, w których zastosowano nietypowe, choć skuteczne rozwiązania techniczne.

Czy powinno być dopuszczalne korzystanie z platform niecertyfikowanych?

W opinii autora zdecydowanie certyfikacja platform e-zamówień powinna mieć charakter dobrowolny, a brak certyfikatu nie powinien stanowić przeszkody w korzystaniu z danej platformy.

Ostateczna decyzja o wyborze platformy, nieposiadającej certyfikatu bezpieczeństwa, powinna należeć do zamawiającego, który ma prawo dokładnie ocenić platformę pod kątem jej zgodności z wymaganiami bezpieczeństwa. Zamawiający może wyznaczyć własne, np. bardziej rygorystyczne, standardy bezpieczeństwa, które platforma musi spełnić, aby móc być używana w procesie zamówień publicznych. Taka elastyczność pozwala na dostosowanie wymagań do konkretnych potrzeb i specyfiki zamawiającego.

W przypadku, gdy zamawiający nie weryfikuje wymagań, które powinna spełnić platforma i zakłada, że oświadczenie dostawcy o bezpieczeństwie jest wystarczające, musi być świadomy, że ponosi pełną odpowiedzialność za wszelkie incydenty lub naruszenia związane z bezpieczeństwem danych, które mogą wystąpić w trakcie korzystania z platformy.

Podsumowując, podejście do certyfikacji powinno być elastyczne. Powinno pozostawiać zamawiającemu decyzję o jej stosowaniu, przy jednoczesnym zrozumieniu, że wybór platformy bez certyfikatu niesie ze sobą dodatkową odpowiedzialność.

Czy konieczne są zmiany prawa?

W przypadku, gdyby przyznawanie certyfikatów było powierzane Urzędowi Zamówień Publicznych lub innemu organowi administracji, niezbędne byłoby jasne określenie tego upoważnienia w przepisach prawa. Jest to zgodne z konstytucyjną zasadą legalizmu z której wynika, że niedopuszczalne jest działanie organów władzy publicznej bez podstawy prawnej albo wykraczające poza jej granice.

Proces certyfikacji platform e-zamówień jest kluczowym elementem, który ma wpływ na bezpieczeństwo i skuteczność całego systemu zamówień publicznych. Aby wprowadzić certyfikację platform e-zamówień przy wsparciu organów administracji publicznej, konieczne jest zapewnienie klarownego i precyzyjnego upoważnienia w odpowiednich przepisach prawnych. Jest to niezbędny krok w zapewnieniu legalności i skuteczności tego procesu.

W przypadku, gdyby organem certyfikującym był Urząd Zamówień Publicznych, konieczne byłoby zatem rozszerzenie uprawnień Prezesa Urzędu Zamówień Publicznych sformułowanych w art. 469 Pzp o możliwość prowadzenia certyfikacji platform e-zamówień.

Konieczne zmiany legislacyjne dotyczyłyby zapewne także rozporządzenia Prezesa Rady Ministrów z dnia 30 grudnia 2020 r. (wydanego na podstawie art. 70 pkt 3 Pzp) w sprawie sposobu sporządzania i przekazywania informacji oraz wymagań technicznych dla dokumentów elektronicznych oraz środków komunikacji elektronicznej w postępowaniu o udzielenie zamówienia publicznego lub konkursie⁹.

Kto powinien certyfikować?

Proces certyfikacji platform e-zamówień powinien być realizowany przez całkowicie niezależny podmiot, który zostałby wybrany w wyniku postępowania o udzielenie zamówienia publicznego. Ważnym aspektem jest, aby wykonawca wyłoniony w wyniku przeprowadzenia tego postępowania działał w pełnej niezależności względem Urzędu Zamówień Publicznych, który sam jest dostawcą platformy e-zamówień i może ubiegać się o uzyskanie certyfikatu.

Na polskim rynku istnieje wiele renomowanych firm specjalizujących się w dziedzinie cyberbezpieczeństwa, co sprawia, że znalezienie odpowiedniego wykonawcy do przeprowadzenia certyfikacji nie stanowi trudności.

Kluczowe jest jednak stawianie jasnych i rygorystycznych warunków przed takim wykonawcą, które gwarantują jego rzetelność i pełną niezależność w procesie certyfikacji.

Wprowadzenie tych zasad pozwoli na stworzenie skutecznego systemu certyfikacji platform e-zamówień, który będzie jednocześnie wiarygodny i niezależny, co jest kluczowe dla zapewnienia bezpieczeństwa oraz zaufania do procesów zamówień publicznych.

Jak sfinansować koszty certyfikacji?

Trudno precyzyjnie oszacować koszty związane z procesem certyfikacji platform e-zamówień, ponieważ są one uzależnione od wielu czynników. Ostateczna cena zależy przede wszystkim od określonych warunków, które musi spełnić platforma, aby uzyskać certyfikat, a także od czasu, na jaki ten certyfikat będzie udzielany. Warto rozważyć dwa scenariusze.

W przypadku, gdy koszty certyfikacji są pokrywane z budżetu państwa, istnieje szereg korzyści wynikających z tego podejścia. Przede wszystkim, centralna certyfikacja obniży wydatki ponoszone przez zamawiających. Zamawiający mają bowiem możliwość rezygnacji z kosztownej weryfikacji bezpieczeństwa platform, które już posiadają certyfikat. Ponadto, należy brać pod uwagę nieuchwytne, ale znaczne korzyści, takie jak zwiększenie przejrzystości i bezpieczeństwa procesów zamówień publicznych.

W przypadku, gdy koszty certyfikacji ponoszą certyfikowane podmioty warto zauważyć, że z punktu widzenia dostawców platform, ze względu na istniejącą konkurencję, zależeć im będzie na uzyskaniu certyfikatu. Koszty certyfikacji nie powinny znacząco wpłynąć na cenę, którą płacą zamawiający za korzystanie z tych platform. To podejście może być korzystne z punktu widzenia konkurencji, zachęcając dostawców do zapewnienia wyższego poziomu bezpieczeństwa i jakości swoich usług.

Podsumowanie

• Istnieje potrzeba wprowadzenia certyfikacji platform e-zamówień. Powinna się ona skupiać na aspektach bezpieczeństwa, a nie na funkcjonalnościach poszczególnych platform.
• Certyfikacja powinna być dobrowolna, a brak certyfikatu nie powinien uniemożliwiać korzystania z danej platformy. Decyzja o wyborze platformy bez certyfikatu powinna należeć do zamawiającego, który ponosi pełną odpowiedzialność za bezpieczeństwo danych.
• Proces certyfikacji powinien być przeprowadzany przez całkowicie niezależny podmiot wyłoniony w wyniku przetargu. Finansowanie kosztów certyfikacji może pochodzić zarówno z budżetu państwa, jak i od samych certyfikowanych podmiotów.
• Wprowadzenie certyfikacji platform e-zamówień wymaga zmian w przepisach prawnych.

Artykuł opublikowano w miesięczniku Zamówienia publiczne Doradca 2023, nr 11, s. 40–45.