Panevėžio apygardos teismo sprendimas

3. Ieškovė teikė atsakovei pretenziją dėl jos priimto sprendimo neteisėtumo ir nepagrįstumo. Atsakovė atmetė pretenziją. Pažymi, kad ieškovė nesutinka su perkančiosios organizacijos sprendimu pripažinti UAB „Bitė Lietuva“ pirkimo laimėtoju.

5. Pažymi, kad ieškovė nesutinka su perkančiosios organizacijos argumentais, kad Techninės specifikacijos 1.18 p. yra svarbus tik sutarties vykdymo metu, nes tai nėra kvalifikacijos reikalavimas. Pirkimo dokumentai skirstomi į kvalifikacijos reikalavimus, reikalavimus objektui ir sutarties nuostatas. Kvalifikacijos reikalavimus ir reikalavimus objektui tiekėjai turi įrodyti egzistuojant pasiūlymų pateikimo momentu. Todėl reikalavimas būti sertifikuotam pagal ISO 27001 standartą nėra vienkartinio, individualaus pobūdžio, nepriklauso nuo sutarties vykdymo. Be to, reikalavimus objektui būtina atitikti pasiūlymų pateikimo momentu, nepriklausomai nuo to, ar perkančioji organizacija prašė pateikti reikalavimo atitiktį įrodančius dokumentus, ar tokių dokumentų neprašė.

6. Pažymi, kad laimėtojo pasiūlymo, atitiktis Techninės specifikacijos 1.18 p. reikalavimui turi būti vertinama ir nustačius neatitikimą reikalavimams, pasiūlymas turėjo būti atmestas.

7. Mano, kad visiškai nepagrįsti perkančiosios organizacijos argumentai, kad sertifikatas dėl ISO 27001 standarto, kuris išduotas laimėtojo subtiekėjui Bitė Latvija SIA, apima visos Bitės įmonių grupės bendroves. Laimėtojas savo atitiktį reikalavimui negali grįsti remiantis jo subtiekėjui išduotu sertifikatu.

8. Iš ISO 17021 standarto matyti, kad sertifikatas apima tik tas vietas ( adresus), kurios tiksliai nurodytos sertifikate, nėra galimybės automatiškai išplėsti jo taikymo į kitas vietas- šiuo atveju į Lietuvą ir taikyti kitam juridiniam asmeniui.

9. Be to, teismų praktikoje dėl ISO sertifikatų pasisakyta, kad būtinas specialusis auditas iš sertifikavimo įstaigos net tais atvejais, kai bendrovė reorganizuojama atskyrimo būdu. Šiuo atveju susiklostė tokia situacija, kai ginčas yra ne dėl tos pačios bendrovės, bet dėl atskirų juridinių asmenų, veikiančių skirtingose valstybėse, todėl vieno sertifikato nepakanka visiems įmonių grupės nariams.

10. Pažymi, kad ieškovė kreipėsi į sertifikavimo bendrovę, kuri turi teisę ir kompetenciją išduoti analogiškus ISO 27001 sertifikatus bei kuri patvirtino, jog nėra pakankama turėti bendrą įmonių politiką, o būtina, kad sertifikate būtų nurodomi visi adresas, įmonių grupės, juridiniai asmenys, kurių veikla yra audituota ir sertifikuota.

11. Pažymi, kad šiuo atveju buvo vykdomas tarptautinės vertės pirkimas, todėl ISO 27001 sertifikavimui taikytinos VPĮ 48 str. 1 d. reguliavimas, t.y. sertifikatas turi būti išduotas sertifikavimo įstaigos ar priimtinas nepriklausomų įstaigų išduotas lygiavertis sertifikatas. Tarptautinės vertės pirkimuose lygiaverčiais nelaikomi paties tiekėjo dokumentai: vidaus įsakymai, politikos tvarkos, kadangi jie nėra audituoti nešališko išorės subjekto. Pagal ISO 17021 standartą būtent tinkamą kompetenciją turinčios sertifikavimo įstaigos gali atlikti auditą, tik tuomet galima pripažinti atitikimą ISO 27001 standarto reikalavimams.

12. Todėl laimėtojas negali remtis kitam subjektui išduotu sertifikatu, nes tai pažeistų sertifikavimo taisykles, tiek patį techninės specifikacijos 1.18 punkto reikalavimus. Laimėtojas turėjo išorinio pirkimo baigtimi nesuinteresuoto kompetentingo subjekto sertifikatu patvirtinti savo atitikimą ISO 27001 standarto reikalavimams. Kadangi pirkimo laimėtojas savo veiklos nėra atitinkamai sertifikavęs, tai neatitinka Techninės specifikacijos 1.18 p. ir jo pasiūlymas turėjo būti atmestas.

13. Pateiktame dublike, rašytiniuose paaiškinimuose ieškovė pažymi, kad trečiojo asmens pozicija, kad Techninės specifikacijos 1.18 punkto sąlygos bus realizuojamos sutarties vykdymo metu, yra visiškai nereikšmingas sąlygos kvalifikavimui kaip techninės specifikacijos reikalavimu ar sutarties vykdymo sąlyga. Kadangi techninės specifikacijos tikslas yra apibūdinti perkamas paslaugas, kurios bus teikiamos sudarius sutartį, tai, kad atitinkamos sąlygos bus realizuojamos sutarties vykdymo metu nekeičia sąlygos pobūdžio iš techninės specifikacijos reikalavimo į sutarties vykdymo sąlygą.

14. Be to, trečiasis asmuo, pildydamas pasiūlymo formą, savo pasiūlyme aiškiai ir tiesiogiai deklaravo, kad atitinka pirkimo dokumentus, įskaitant Techninės specifikacijos reikalavimus. Kas reiškia, kad trečiasis asmuo jau pasiūlymo teikimo stadijoje tiek deklaravo atitiktį Techninės specifikacijos reikalavimui, tiek teikė įrodymus dėl šios atitikties, todėl atsakovė turėjo teisę ir faktiškai aiškinosi dėl trečiojo asmens atitikties Techninės specifikacijos 1.18 p. reikalavimui bei priėmė sprendimą. Todėl nėra jokios abejonės, kad atitiktis Techninės specifikacijos 1.18 p. reikalavimui turi ir gali būti vertinama ir nustačius neatitiktį keliamam reikalavimui, trečiojo asmens pasiūlymas turėjo būti atmestas.

15. Pažymi, kad ieškovei nėra aišku, kokiu konkrečiu būdu trečiasis asmuo ir atsakovė įrodinėja atitiktį Techninės specifikacijos 1.18 p. reikalavimui, kadangi atsakovės ir trečiojo asmens pateikiami argumentai yra prieštaringi. Todėl vertinant sistemiškai pateiktus atsakovės ir trečiojo asmens argumentus procesiniuose dokumentuose galima daryti išvadą, jog atitiktis Techninės specifikacijos 1.18 p. reikalavimui iš pradžių grista per kitos Bitės įmonių grupės ( SIA Bitė Latvia) reikalaujamo ISO 27001:2013 sertifikato turėjimo faktu. Vėliau buvo akcentuojama, kad UAB „Bitė Lietuva“ turi vidinę politiką ir IS vadybininką, tačiau trečiojo asmens vidiniai dokumentai nėra lygiaverčiai ISO sertifikatui. Atsiliepimuose į ieškinį, akcentuojama, jog UAB „Bitė Lietuva“ atitinka lygiaverčio standarto reikalavimus, nes yra audituojama pagal NIST (gaires) standartą. Ieškovei pateikus argumentus, jog NIST ir ISO 27001 nėra lygiaverčiai standartai, trečiasis asmuo teikia įrodymus, kad jis yra beveik užbaigęs sertifikavimo procedūrą pagal ISO/IEC 27001:2022. Tokiu būtu trečiasis asmuo iš esmės paneigia NIST lygiavertiškumą ISO 27001 ir tik patvirtina faktą, kad sertifikavimo procedūra tiesiog nėra baigta ir trečiasis asmuo neatitinka Techninės specifikacijos 1.18 p. reikalavimo.

16. Nurodo, jog trečiasis asmuo nei pasiūlymų teikimo metu, nei šios bylos nagrinėjimo metu nėra sertifikuota pagal ISO/IEC 27001:2022 standartą, todėl vėlesni trečiojo asmens veiksmai neturi įtakos vertinimui.

17. Pažymi, jog trečiojo asmens vertinimas, atliktas FTI Consulting gali būti nulemtas sutartinių santykių, kadangi FTI Consulting yra konsultacinė įstaiga. Konsultantų vertinimas nėra lygiavertis nepriklausomų, kompetentingų organizacijų vertinimui ir tai, kad JAV yra duomenų saugumo ir atitikties standartas, kurio atitikimą vertina nepriklausomi /akredituoti auditoriai, t.y. netgi JAV rinkoje įtvirtintas atskiras vertinimo/ audito metodas. Be to VPĮ 48 str. yra nurodyta, kad konsultantų pateikti vertinimai nėra lygiaverčiai sertifikatams.

18. Nagrinėjamoje byloje trečiasis asmuo turi įrodyti, kad NIST yra lygiavertis ir apkritai gali būti laikomas standartu. Ieškovės vertinimu, trečiasis asmuo nėra pateikęs jokių šių dokumentų lygiavertiškumą pagrindžiančių įrodymų, išskyrus savo paaiškinimus.

21. Techninės specifikacijos Bendrųjų reikalavimų skyriaus 1.18 p. keliamas reikalavimas teikėjui, teiksiančiam sistemą ir susijusias paslaugas, turi būti sertifikuojama pagal ISO/IEC 27001:2022, ISO/IEC 27001:2022 arba lygiavertį standartą. Šis Techninės specifikacijos reikalavimas nėra priskiriamas kvalifikacijos reikalavimui VPĮ 47 straipsnio prasme. Užimtumo tarnyba nereikalavo atitiktį patvirtinančių dokumentų pateikti su pasiūlymu, todėl pagrįstai tiekėjo atitikties nevertino pasiūlymų vertinimo metu.

22. Be to, Pirkimo specialiųjų sąlygų 6.1 p. numatyta dokumentų visuma, kuri sudaro tiekėjo pasiūlymą. Įvertinus minėtame punkte išvardintus dokumentus nustatyta, kad pateiktame baigtiniame sąraše nėra nurodytas Techninės specifikacijos 1.18 p. minimas ISO/IEC 27001:2022 arba lygiavertis sertifikatas.

23. Techninės specifikacijos 1.18 p keliamas reikalavimas tiekėjui, teiksiančiam sistemą ir susijusias paslaugas, būti sertifikuotam pagal ISO/IEC 27001:2022, ISO/IEC 27001:2022 arba lygiavertį standartą nėra kvalifikacijos reikalavimas VPĮ 47 str. prasme, todėl Užimtumo tarnyba neturėjo pareigos tiekėjo atitiktį šiam reikalavimui vertinti pasiūlymų vertinimo metu.

24. Pažymi, kad Techninės specifikacijos 1.18 p. keliamas reikalavimas yra keliamas kaip sutarties vykdymo reikalavimas, kuriam atitiktis neturėjo būti vertinama pasiūlymo vertinimo metu.

25. ISO 27001 yra informacijos saugos vadybos sistema. Informacijos saugos vadybos sistemos sertifikavimas pagal ISO 27001 standarto reikalavimus leidžia parodyti klientams, priežiūros institucijoms ir partneriams įsipareigojimą užtikrinti įmonės turimos informacijos saugumą, konfidencialumą, vientisumą ir prieinamumą. ISO 27001 standarto taikymas yra ypač svarbus tose srityse, kurios tvarko neskelbtinus ir svarbius klientų duomenis. Nagrinėjamu atveju buvo perkama paslauga, kurios teikimo metu tiekėjas tvarkys neskelbtinus ir svarbius klientų duomenis, todėl Užimtumo tarnybai svarbu, kad tiekėjas, kuris vykdys sutartį ir teiks paslaugas, užtikrins informacijos saugumą.

29. Trečiasis asmuo UAB „Bitė Lietuva“ Užimtumo tarnybai pateikė duomenis, kad tiek nagrinėjamame pirkime subtiekėju pasitelkta SIA Bitė Latvija, tiek trečiasis asmuo UAB „Bitė Lietuva“ priklauso tai pačiai Bitė Group. Visai Bitė Group yra taikoma vieninga informacijos valdymo saugumo politika, todėl tiek SIA Bite Latvija, tiek UAB „ Bitė Lietuva“ griežtai laikosi tarptautinių standartų ir reikalavimų informacijos saugumo bei kibernetinio saugumo srityse pagal visai Bitė Group taikomą Informacijos valdymo saugumo politiką. Trečiais asmuo paaiškino, kad informacijos saugumo valdymo politika buvo audituota nepriklausomos JAV sertifikuotos bendrovės „FTI Consulting“ pagal Bitė Group akcininko JAV investuotojo Providence Equity Partners pavedimą. Trečiasis asmuo pažymėjo, kad FTI Consulting yra JAV kompanija, tai auditas buvo atliktas vadovaujantis NIST gairėmis( standartu) , kuris yra lygiavertis Europos Sąjungos ISO informacijos saugumo standartui ( ISO 27001). Tačiau atsižvelgiant į tai, kad NIST yra JAV galiojantis ir taikomas standartas, sertifikatai kaip tokie nėra išduodami, priešingai nei Europos Sąjungoje pagal ISO standartus ir sertifikavimo procedūras. Trečiasis asmuo taip pat nurodė, kad pats įvertinimas visa apimtimi yra konfidencialus.

30. Pažymi, kad Bitė Group Informacijos saugumo valdymo politika nustato principus kaip Bite Group įmonės užtikrina klientui perduotų tvarkyti asmens duomenų apsaugą, konfidencialumą, vientisumą ir prieinamumą. Taip pat nustatyta, kad specialiai paskirtas IS saugumo vadybininkas turi deleguotas informacijos saugumo valdymo funkcijas SIA Bite Latvija, kuri yra sertifikuota pagal ISO 27001:2013 standartą. Įvertinus trečiojo asmens pateiktą informacijos saugumo valdymo politiką, Užimtumo tarnyba įsitiko, kad trečiojo asmens siūlomos informacijos saugumo užtikrinimo priemonės atitinka reikalaujamą ISO 27001 standartą. Pažymi, kad SIA Bite Latvija pateiktas ISO 27001:2022 sertifikatas apima ir UAB „Bitė Lietuva“ teikiamų paslaugų spektrą, kurioms taip pat taikomi tie patys informacijos saugumo reikalavimai, numatyti ISO 27001:2022 standarte.

31. Pateiktame triplike atsakovė nurodo, jog atsakovės viešųjų pirkimų komisija CVP IS priemonėmis gavo ieškovės pretenziją, kurią ieškovė motyvavo tuo, kad pirkimo laimėtojas nėra sertifikuotas pagal ISO 27001 standartą, sertifikatą turi tik jo subtiekėjas, kitas subtiekėjas nėra sertifikuotas savo dalyje. Po ieškovės pretenzijos gavimo, Užimtumo tarnyba, siekdama įsitikinti savo sprendimo dėl laimėtojo nustatymo teisėtumu ir pagrįstumu, savo iniciatyva kreipėsi į trečiąjį asmenį prašydama pagrįsti atitiktį Techninės specifikacijos 1.18 p. Trečiasis asmuo pateikė paaiškinimą, kuriame ir buvo pateikta informacija apie JAV kompanijos FTI Consulting atliktą UAB „Bitė Lietuva“ auditą, vadovaujantis NIST gairėmis( standartu).

32. Pažymi, kad duomenys apie JAV kompanijos FTI Consulting atliktą trečiojo asmens auditą, vadovaujantis NIST gairėmis( standartu), buvo gauti pirkimo procedūrų metu, todėl nesutinka su ieškovės argumentais, kad civilinėje byloje pateikti nauji dokumentai.

33. Be to, trečiojo asmens pateiktame paaiškinime dėl atitikimo Techninės specifikacijos 1.18 p. buvo nurodyta, jog trečiojo asmens pateiktame paaiškinime nurodyta informacija yra konfidenciali, todėl atsakovė neturėjo atskleisti ieškovei atsakyme į pretenziją apie JAV kompanijos FTI Consulting atlikto trečiojo asmens audito išvadas.

34. Pažymi, kad atsakovė Techninės specifikacijos 1.18 p. nustatytą reikalavimą laiko sutarties vykdymo sąlyga, todėl trečiojo asmens atitiktis keliamam Techninės specifikacijos 1.18 p. reikalavimui neprivalėjo ir neturėjo būti vertinama pasiūlymo pateikimo metu. Trečiojo asmens atitiktis Techninės specifikacijos 1.18 p. reikalavimui pakartotinai buvo patikrinta dar iki sutarties sudarymo tik todėl, kad buvo gauta ieškovės pretenzija, siekiant įsitikinti sprendimo dėl laimėtojo nustatymo teisėtumu ir pagrįstumu.

35. Pažymi, kad pirkimo sąlygų 4 priede „Tiekėjų kvalifikacijos reikalavimai ir reikalaujami kokybės bei aplinkos apsaugos vadybos sistemos standartai“ nustatyti kvalifikacijos reikalavimai tiekėjui. Prie kvalifikacijos reikalavimų tiekėjui nėra nustatyta būti sertifikuojam pagal ISO/IEC 27001:2022, ISO/IEC 27001:2022 arba lygiavertį standartą.

36. Nurodo, jog atsakovė NIST ir ISO 27001 standarto lygiavertiškumą vertino atsižvelgdama į pirkimo objektą ir nustatyto techninės specifikacijos reikalavimo tikslą. Atsakovės nuomone, trečiasis asmuo UAB „Bitė Lietuva“ jam turimomis priemonėmis įrodė FTI Consulting įmonės audito išvados lygiavertiškumą sertifikavimui pagal ISO/IEC 27001:2022, ISO/IEC 27001:2022 standartą. Atsakovė laiko, kad lygiavertiškumas buvo įrodytas Užimtumo tarnybai tinkamomis priemonėmis, kurios padėjo įsitikinti , kad trečiasis asmuo paslaugas teiks pagal Techninėje specifikacijoje nustatytus reikalavimus.

37. Pažymi, kad atsakovės vertinimu, pirkimo procedūros buvo atliktos tinkamai, jų atlikimas užtikrino viešojo pirkimo tikslą, todėl nėra jokio pagrindo konstatuoti, kad pirkimo procedūra pažeidė VPĮ 35 straipsnio 4 dalį bei skaidrumo lygiateisiškumo ir proporcingumo principus.

38. Pažymi, kad ieškovė prašo priteisti išlaidas už pretenzijos Užimtumo tarnybai rengimą, kurios priskirtinos ikiteisminės ginčo nagrinėjimo procedūros išlaidoms. Šios išlaidos neturėtų būti priteisiamos. Kartu pažymi, kad 2024 m. spalio 11 d. ir 2024 m. lapkričio 11 d. pateiktoje detalių darbų ataskaitoje be advokatės D. L. nurodyta ir kita darbuotoja K. K., kurios išlaidos įtrauktos į bendrą patirtų bylinėjimosi išlaidų sumą, tačiau jokių ieškovės atstovavimą patvirtinančių dokumentų nepateikta.

41. Techninės specifikacijos 1.18 punkto reikalavimas, priešingai nei teigia ieškovė, yra reikalavimas ne pirkimo objektui, bet sutarties vykdymo reikalavimas.

42. Pažymi, kad tiekėjų sertifikavimas pagal ISO 27001 arba lygiavertį standartą reiškia, jog tiekėjas, kuris teiks skaitmeninės telefonijos paslaugas, laikytųsi ir paslaugas teiktų vadovaudamasis ISO arba lygiaverčiai standartais, kurie apibrėžia reikalavimus informacijos saugumui bei kibernetinei saugai.

43. Perkančiajai organizacijai yra svarbu, kad sutartinių įsipareigojimų vykdymo laikotarpiu būtų užtikrintas informacijos saugumas, t.y. pas pirkimo laimėtoją būtų įdiegtos saugos priemonės, saugančios organizaciją nuo galimų kibernetinių atakų, būtų užtikrinamos ir tinkamai valdomos rizikos, susijusios su informacijos bei duomenų saugumu.

44. Ieškovės vertinimu tiekėjo pasiūlymo atitiktis pagal Techninės specifikacijos 1.18 punktą turėjo būti vertinama pasiūlymų vertinimo metu, t.y. pirkimo procedūrų metu, nes šis reikalavimas tariamai yra reikalavimas pirkimo objektui. Tačiau šiuo atveju yra svarbu Europos Sąjungos Teisingumo teismo suformuota praktika, pagal kurią tas pats reikalavimas gali būti ir atrankos kriterijus, ir techninės specifikacijos reikalavimas pirkimo objektui ir sutarties vykdymo sąlyga.

45. Pažymi, kad pirkimo sąlygose nebuvo keltas kvalifikacijos reikalavimas tiekėjams būti įdiegus informacijos ir kibernetinio saugumo priemones ir kartu su pasiūlymu pateikti įrodymus. Vienintelis kvalifikacijos reikalavimas, kurį tiekėjams kėlė atsakovė yra numatytas Specialiųjų pirkimo sąlygų 4 priede „Tiekėjų kvalifikacijos reikalavimai“, t.y. reikalavimas turėti įvykdytą ar vykdomą panašią bent vieną ar daugiau, bet ne daugiau nei tris, sutarčių, kurių vertė turi būti ne mažesnė kaip nei 50 000 Eur be PVM“.

46. Iš pirkimo sąlygų turinio matyti, kad tiekėjai kartu su pasiūlymu apskritai neturėjo pateikti sertifikatų pagal ISO 27001 standartą arba lygiavertį. Be to, pats reikalavimas savo esme ir pobūdžiu, yra ne reikalavimai tiekėjui ir ne reikalavimas pirkimo objektui, t.y. nėra techninis ar funkcinis reikalavimas įrangai ar pan. Nurodytas reikalavimas yra sutarties vykdymo sąlyga, nurodant, kaip turės būti teikiama skaitmeninės telefonijos paslauga, t.y. užtikrinant informacijos saugumą.

47. Vertinant sistemiškai pirkimo sąlygų turinį, akivaizdu, kad ieškovas nepagrįstai tapatina reikalavimus pirkimo procedūrai ir reikalavimus sutarties vykdymui.

48. Nagrinėjamu atveju atsakovė kėlė reikalavimą ne pirkimo objektui, bet sutarties vykdymui, kadangi pirkimo sąlygose nereikalavo kartu su pasiūlymu pateikti sertifikato arba kito dokumento ( Specialiųjų pirkimo sąlygų 6.1 p.); pirkimo sąlygose nekėlė tokio kvalifikacijos reikalavimo ar atitinkamo reikalavimo tiekėjui ( Specialiųjų pirkimo sąlygų 4 priedas).

49. Pažymi, kad atsakovė šį reikalavimą kėlė kaip sutarties vykdymo sąlygą, bet ne kaip kvalifikacijos reikalavimą arba reikalavimą pirkimo objektui, atitiktis kuriems turėtų būti vertinama pirkimo procedūrų metu pasiūlymo pateikimo momentui.

50. Techninės specifikacijos 1.18 punkto reikalavimas yra sutarties vykdymo sąlyga, skirta ne pirkimo objektui kaip tokiam, todėl atsakovė neturėjo ne tik pareigos, bet ir teisės reikalauti, kad šis atitikimas būtų vertinamas pasiūlymų vertinimo metu.

51. Tokiu atveju, jei teismas vertintų, kad trečiasis asmuo turėjo pareigą kartu su pasiūlymu pateikti dokumentus dėl sertifikavimo arba lygiavertį standartą, trečiasis asmuo, kaip ir visas Bite Group, visiškai atitinka Techninės specifikacijos 1.18 punkto reikalavimą ir skaitmeninės telefonijos paslaugas teiks, užtikrindamas informacijos saugumą pagal ISO 27001 standarto arba lygiaverčių standartų reikalavimus.

52. Nurodo, kad trečiasis asmuo, kaip ir visa Bite Group, kuriai priklauso trečiasis asmuo, yra parengęs visus būtinus dokumentus ir įdiegęs eilę informacijos ir kibernetinio saugumo valdymo rizikos priemonių, kurių atitiktis yra tikrinama jau 5 metus ir yra pripažinta, kad informacijos ir kibernetinio saugumo reikalavimai yra užtikrinami pagal lygiavertį JAV NIST gaires( standartą).

53. Pažymi, kad trečiasis asmuo, būdamas Bite Group nariu, griežtai laikosi tarptautinių standartų ir reikalavimų informacijos saugumo bei kibernetinio saugumo srityse pagal visai Bite Group taikomą bendrą ir audituotą politiką.

54. Pažymi, kad ieškovės pateiktas UAB „TUV UOLEKTIS“ nuomonė bei atsakymai neįrodo ieškinio pagrįstumo, kadangi buvo atliktas tik vieno dokumento, t.y. SIA Bite Latvija sertifikato, išduoto pagal ISO 27001 standartą, vertinimas, o ne sisteminis visos Bite Group ir visų dokumentų bei įdiegtų informacijos saugumo rizikos valdymo priemonių vertinimas pagal JAV galiojančius standartus.

55. Trečiasis asmuo, vadovaudamasis teisiniu reguliavimu ( CPK 10 str.) ir suformuota teismų praktika dėl dalies bylos medžiagos, t.y. 4 ir 5 priedų pripažinimo neviešais, pažymi, kad šiuose prieduose esanti trečiojo asmens ir visos Bite Group įmonių komercinė paslaptis atitinka visus CK 1.116 str. keliamus komercinės paslapties požymius, t.y.1) yra slapta, nes apibrėžia trečiojo asmens ir visos Bite Group informacijos apsaugos priemonės kibernetinių incidentų valdymą, rizikos lygius ir pan., todėl yra nežinoma tretiesiems asmenims ir ypatingai saugoma nuo konkurentų; 2) savo pobūdžiu ir esme yra vertinga ir pritaikyta būtent Bite Group įmonių grupei, vieningai taikoma visose grupei priklausančiose įmonėse; 3) trečiasis asmuo deda maksimalias pastangas šiai informacijai apsaugoti, kadangi tiek informacijos saugumo valdymo politikoje, tiek ir FTI Consulting pateiktose vertinimo santraukose yra trečiajam asmeniui jautri informacija.

56. Pateiktame triplike, rašytiniuose paaiškinimuose, trečiasis asmuo nurodė, kad nagrinėjamoje situacijoje turėtų būti atsakyta ir įvertinta, ar Techninės specifikacijos 1.18 p. yra sutarties vykdymo sąlyga, ar reikalavimas pirkimo objektui, t.y. techninės specifikacijos reikalavimas. Jeigu būtų pripažinta, kad Techninės specifikacijos 1.18 p. yra sutarties vykdymo sąlyga ( su kuo trečiasis asmuo sutinka) ir atitikimas šiam reikalavimui apskritai neturėjo būti vertinamas, kol neprasidėjo sutarties vykdymas, reikštų, kad ieškovo argumentai yra nepagrįsti ir turėtų būti atmesti.

57. Pažymi, kad iš Techninės specifikacijos turinio ( 1.19 p., 1 lentelės 7 ir 9 p.), kituose punktuose yra aiškiai ir nedviprasmiškai keliami reikalavimai naudoti duomenų bei pokalbių šifravimą, taip pat nurodomas specialusis reikalavimas duomenų centrui, kuris turi būti sertifikuotas TIER III lygio sertifikatu. Vertinant šiuo reikalavimus sistemiškai, darytina išvada, kai tai yra sutarties vykdymo reikalavimas, ką pripažįsta ir ieškovė.

58. Pažymi, kad pagal suformuotą teismų praktiką, jeigu pirkimo sąlygų reikalavimas yra traktuojamas kaip sutarties vykdymo sąlyga, perkančioji organizacija būtent viešojo pirkimo procedūrų metu neturi teisės ir negali vertinti , ar tiekėjo pasiūlymas atitinka tokią sąlygą. Pažymi, kad šiuo atveju svarbu vertinti, ar perkančioji organizacija Pirkimo sąlygose reikalavo pateikti kartu su pasiūlymu tai patvirtinančius įrodymus.

59. Perkančioji organizacija nei Techninėje specifikacijoje, nei Specialiųjų pirkimo sąlygų 6.1 punkte nereikalavo pateikti kartu su pasiūlymu sertifikato, išduoto pagal ISO 27001 standartą arba lygiaverčio.

60. Pažymi, kad trečiasis asmuo laikosi pozicijos, kad Techninės specifikacijos 1.18 p. yra sutarties vykdymo sąlyga ir atitiktis šiam reikalavimui apskritai neturėjo būti vertinama pasiūlymų vertinimo etape. Tuo atveju, jei tai būtų vertinama kitaip, trečiasis asmuo atitinka šio punkto reikalavimus.

61. Techninės specifikacijos 1.18 p. yra tikslus, aiškus ir nedviprasmiškas reikalavimas – turėti sertifikatą, išduotą pagal ISO 27001 standartą arba lygiavertį. Trečiasis asmuo šį reikalavimą atitinka, kadangi trečiasis asmuo yra audituojamas nepriklausomų išorės auditų pagal NIST gairių( standarto) reikalavimus, yra įdiegęs visas informacijos ir kibernetinio saugumo priemones.

62. Pažymi, kad NIST gairės( standartas) yra lygiavertis ISO 27001 dokumentas. Nurodo, jog šiuo nagrinėjamu atveju negali būti vertinamas NIST ir ISO 27001 identiškumas, o turėtų būti vertinama paskirtis ir esmė, t.y. ar įdiegus informacijos ir kibernetinio saugumo priemones pagal vieną ar kitą standartą, bus pasiektas tas pats rezultatas. NIST – tai Jungtinių Amerikos Valstijų nacionalinis standartų ir technologijų institutas, kuriantis technologijų ir matavimo standartus. Pažymi, kad NIST standartas savo esme yra lygiavertis ISO 27001 standartui. Pagal NIST gaires (standartus) atliekami auditai, bet nėra išduodamas sertifikatas, tačiau tai nereiškia, kad savo esme ir paskirtimi NIST ir ISO 27001 yra nelygiaverčiai. Pažymi, kad NIST pagrindu įdiegtų priemonių taikymas užtikrina didesnį kibernetinį saugumą bei atsparumą kibernetinėms atakoms nei ISO 27001 standarto pagrindu išduotas sertifikatas.

63. Nurodo, jog atlikus ISO auditą yra išduodamas sertifikatas, o atlikus auditą pagal NIST yra pateikiamas išsamus vertinimas bei apibendrinta išvada. Mano, kad ieškovės pateikta specialisto išvada dėl atitikimo ISO 27001 standartui nėra objektyvi, pateikiama subjektyvios, formaliu požiūriu grįstos išvados, kurios negali būti tinkamu ir pakankamu įrodymu.

64. Pažymi, kad trečiasis asmuo yra Nacionaliniam saugumui užtikrinti svarbi trečios kategorijos įmonė pagal Lietuvos Respublikos nacionaliniam saugumui užtikrinti svarbių objektų apsaugos įstatymo ( toliau – NSUSOAĮ) 3 priedo 5 punktą. Trečiajam asmeniui, kaip trečios kategorijos įmonei, yra keliami tam tikri veiklos saugumo reikalavimai. Šio įstatymo pagrindu , trečiasis asmuo jau kelis metus iš eilės teikia ataskaitas NKSC, kuriam abejonių dėl trečioji asmens taikomų saugumo priemonių ir jų pakankamumo nė vienais metais nekilo.

65. Trečiajam asmeniui esant Nacionaliniam saugumui užtikrinti svarbia trečios kategorijos įmone, yra taikomi ženkliai griežtesni informacijos, duomenų saugumo ir kibernetinio saugumo reikalavimai nei apibrėžiama ISO 27001 standarto, kuris nėra išimtinai skirtas kibernetinio saugumo reikalavimams užtikrinti.

66. Pažymi, kad NIST gairės ( standartai) ir ISO 27001 standartas savo esme yra lygiaverčiai dokumentai. Trečiasis asmuo įrodė atitikimą Techninės specifikacijos 1.18 p. reikalavimui, todėl atsakovės sprendimas pripažinti trečiojo asmens pasiūlymą yra teisėtas ir turi būti paliktas galioti.

67. Pažymi, kad nagrinėjamu atveju trečiasis asmuo nėra ribojamas įrodinėti savo atitikimą keliamiems reikalavimams, kuriais perkančioji organizacija nesirėmė ikiteisminėje ginčų nagrinėjimo stadijoje.

69. Pateiktuose rašytiniuose paaiškinimuose trečiasis asmuo pažymi, kad byloje pateikta Viešųjų pirkimų tarnybos išvada, kuri yra rekomendacinio pobūdžio, yra prieštaringa, neatitinka naujausios kasacinio teismo praktikos dėl pasiūlymų vertinimo bei neatitinka faktinių bylos aplinkybių.

70. Pažymi, kad šioje nagrinėjamoje byloje ginčo esmė yra Techninės specifikacijos 1.18 p. kvalifikavimas, t.y. vertinimas, ar šis reikalavimas yra Techninės specifikacijos reikalavimas pirkimo objektui ( skaitmeninės telefonijos paslaugos), kaip tokiam, ar sutarties vykdymo sąlyga. Ginčo objektas yra Pirkimo sąlygų turinio aiškinimas ir taikymas, bet ne Pirkimo sąlygų vertinimas teisėtumo aspektu.

71. Nagrinėjamoje byloje, Viešųjų pirkimų tarnybai pateikus savo vertinimą, iš esmės susiklostė tokia situacija, kuomet Viešųjų pirkimų tarnyba , pateikdama savo nuomonę, kvestionuoja Pirkimo sąlygas jau įvykus visoms pirkimo procedūroms ir išrinkus pirkimo laimėtoją, nors šių sąlygų neginčijo tiekėjai. Šiuo atveju turėtų būti vertinama, ar atsakovė priimdama sprendimą dėl pirkimo laimėtojo, tinkamai pritaikė pirkimo sąlygas, bet nevertinti šios nuostatos teisėtumo kaip tokio.

72. Išvadą byloje teikianti institucija – Viešųjų pirkimų tarnyba pateikė išvadą, kurioje nurodė, jog perkančioji organizacija Pirkimo sąlygose nekėlė reikalavimo pateikti sertifikatą ar kitą lygiavertį dokumentą, įrodantį, kad tiekėjas yra sertifikuotas pagal ISO/IEC 27001:2022, ISO/IEC27001:2022 arba lygiavertį standartą, tam, kad galėtų įsitikinti tiekėjų pasiūlymų atitiktimi Techninės specifikacijos 1.18 punkto reikalavimui. Pirkimo dokumentuose nėra konkrečiai nustatyta, kad pasiūlymas atmetamas nepateikus Techninės specifikacijos 1.18 punkte nurodyto dokumento. Pažymi, kad negalima patvirtinti, kad tiekėjai turėjo aiškiai nustatytą pareigą kartu su pasiūlymu pateikti dokumentus, įrodančius tiekėjų sertifikavimą pagal ISO/IEC 27001:2022, ISO/IEC 27001:2022 arba lygiavertį standartą. Perkančioji organizacija Pirkimo dokumentuose nustatė reikalavimą tiekėjui būti sertifikuotam pagal ISO/IEC 27001:2022, ISO/IEC 27001:2022 arba lygiavertį standartą, tačiau neprašė pateikti atitiktį įrodančių dokumentų, kas leidžia manyti, kad minimas Techninės specifikacijos reikalavimas yra deklaratyvaus pobūdžio ir pati Perkančioji organizacija nežino, kaip toks reikalavimas turėtų būti tinkamai vertinamas, todėl tokios Pirkimo procedūros neužtikrina viešojo pirkimo tikslo – įsigyti perkančiajai organizacijai reikalingų paslaugų ir pažeidžia Viešųjų pirkimų įstatymo 35 straipsnio 4 dalį bei skaidrumo, lygiateisiškumo ir proporcingumo dėsnius.

73. Byloje esančiais duomenimis nustatyta, kad atsakovė Užimtumo tarnyba, kaip perkančioji organizacija, vykdo tarptautinį viešąjį pirkimą „Skaitmeninės telefonijos kompiuterizuotų darbo vietų techninio įrengimo, užtikrinimo, aptarnavimo ir išplėtimo paslaugos“ Nr. 728811( toliau – pirkimas). Skelbimas apie pirkimą Centrinėje viešųjų pirkimų informacinėje sistemoje ( toliau – CVP IS) paskelbtas 2024 m. liepos 11 d. 2024 m. rugsėjo 11 d. perkančiosios organizacijos pirkimo komisija, įvertinusi tiekėjų pateiktus pasiūlymus, pirkimo laimėtoju pripažino trečiojo asmens UAB „Bitė Lietuva“ pasiūlymą. Antruoju pasiūlymu buvo pripažintas ieškovės teiktas pasiūlymas. Perkančioji organizacija CVP IS priemonėmis 2024 m. rugsėjo 11 d. gavo ieškovės prašymą dėl susipažinimo su laimėjusio dalyvio UAB „Bitė Lietuva“ pasiūlymu. Atsakovė 2024 m. rugsėjo 13 d. CVP IS pranešimu pateikė ieškovei pirkimo laimėtojo UAB „Bitė Lietuva“ pasiūlymą bei kitus prie pasiūlymo pridedamus dokumentus, išskyrus informaciją, kurią pirkimo dalyvis nurodė kaip konfidencialią.

74. 2024 m. rugsėjo 18 d. CVP IS priemonėmis ieškovė pateikė atsakovei pretenziją, kuria buvo prašoma panaikinti perkančiosios organizacijos sprendimą laimėtoju pripažinti UAB „Bitė Lietuva“ bei atmesti UAB „Bitė Lietuva“ pasiūlymą kaip neatitinkantį pirkimo dokumentų reikalavimų. Atsakovė netenkino ieškovės pretenzijos, kadangi perkančiosios organizacijos vertinimu pirkimo laimėtojas atitinka Techninės specifikacijos 1.18 punkto reikalavimus.

75. Perkančioji organizacija, vykdydama viešąjį pirkimą, Viešojo pirkimo Bendrųjų sąlygų 2.1 punkte numatė, jog vykdomas viešasis pirkimas, siekiant įsigyti pirkimo objektą, kurio techninė specifikacija yra pateikta specialiųjų pirkimo sąlygų priede. Pirkimo specialiųjų sąlygų 2.1 punkte apibūdinant pirkimo objektą nurodoma, jog perkančioji organizacija numato įsigyti skaitmeninės telefonijos paslaugas. Reikalavimai pirkimo objektui nustatyti specialiųjų pirkimo sąlygų 2 priede „ Techninė specifikacija“. Pirkimo sąlygų 2 priedo „Techninė specifikacija“ Bendrieji reikalavimai 1.18 punkte numatyta, kad tiekėjas, teikiantis sistemą ir susijusias paslaugas turi būti sertifikuotas pagal ISO/IEC 27001:2022, ISO/IEC 27001:2022 arba lygiavertį.

77. Kaip nustatyta bylos nagrinėjimo metu, perkančioji organizacija Specialiųjų pirkimo sąlygų 6.1 punkte nurodė, kokius dokumentus privalo pateikti tiekėjas kartu su pasiūlymu ir kas sudaro pasiūlymo visumą, t.y. tiekėjo pasirašytas pasiūlymas, parengtas pagal specialiųjų pirkimo sąlygų priede pateiktą pasiūlymo formą ( 6.1.1 punktas); užpildytas EBVPD ( specialiųjų pirkimo sąlygų priedas), kurį pasirašydamas tiekėjas patvirtina ir EBVD tikrumą ( 6.1.2 punktas); jungtinės veiklos sutarties kopija ( jeigu pirkime dalyvauja ūkio subjektų grupė jungtinės veiklos sutarties pagrindu) ( 6.1.3 punktas); dokumentas, patvirtinantis, kad asmuo, kuris pasirašė pasiūlymą ( jei jis ne tiekėjo vadovas), turėjo teisę pasirašyti ( 6.1.4 punktas); pasiūlymo galiojimą užtikrinantis dokumentas ( jeigu reikalaujama) ( 6.1.5 punktas); jeigu tiekėjas patelkia ūkio subjektus, kurių pajėgumais remiasi ( 6.1.6 punktas); jei tiekėjas pasitelkia subtiekėjus, subtiekėjo deklaracija ar kitas dokumentas, patvirtinantis jo sutikimą būti subtiekėju pirkime ( 6.1.7 punktas); dokumentai, patvirtinantys, kad ūkio subjektas, kurio pajėgumais tiekėjas remiasi, atsižvelgdamas į specialiųjų pirkimų sąlygų priede nustatytus ekonominio ir finansinio pajėgumo reikalavimus, kartu su tiekėju įsipareigoja solidariai atsakyti už tiekėjo įsipareigojimų pagal sutartį vykdymą ir atlyginti bet kokią žalą, kuri kiltų dėl tiekėjo netinkamo įsipareigojimų vykdymo ar nevykdymo ( jei perkančioji organizacija kelia tokius kvalifikacijos reikalavimus ir reikalauja prisiimti solidarią atsakomybę)( 6.1.8 punktas); deklaraciją dėl (ne)atitikties Reglamento nuostatoms ( 6.1.9 punktas); viešųjų pirkimų tarnybos nustatytos formos atitikties deklaracija ( 6.1.10 punktas).

78. Taigi šiuo atveju perkančioji organizacija pirkimo sąlygose nekėlė reikalavimo tiekėjams kartu su pasiūlymu pateikti sertifikatą ar kitą lygiavertį standartą, tam, kad perkančioji organizacija galėtų įsitikinti tiekėjų pasiūlymų atitiktimi Techninės specifikacijos 1.18 punkto reikalavimui. Pirkimo sąlygose taip pat nėra nustatyta, jog tiekėjo pateiktas pasiūlymas yra atmetamas, jam nepateikus Techninės specifikacijos 1.18 punkte nurodytų duomenų.

79. Nagrinėjamu atveju vienintelis kvalifikacijos reikalavimas, kurį tiekėjams kėlė atsakovė yra numatytas Specialiųjų pirkimo sąlygų 4 priede „Tiekėjų kvalifikacijos reikalavimai“, t.y. reikalavimas „turėti įvykdytą ar vykdomą panašią bent vieną ar daugiau, bet ne daugiau nei tris, sutarčių, kurių vertė turi būti ne mažesnė kaip 50 000,00 eurų ( penkiasdešimt tūkstančių eurų) be PVM.“ Specialiųjų pirkimo sąlygų 4 priede „Tiekėjų kvalifikacijos reikalavimai“ nėra numatyto kvalifikacijos reikalavimo tiekėjui būti sertifikuotam pagal ISO/IEC 27001:2022, ISO/IEC 27001:2022 arba lygiavertį standartą.

81. Atsakovė, vertindama tiekėjų pateiktus pasiūlymus, atsižvelgdama į trečiojo asmens pateiktus paaiškinimus, vertino, jog trečiasis asmuo galės tinkamai įvykdyti viešojo pirkimo sutartį, t.y. suteikti skaitmeninės telefonijos paslaugas.

85. Ieškovės vertinimu, trečiojo asmens pateikti duomenis bei paaiškinimai nepatvirtina, kad trečiojo asmens turimas vertinimas pagal NIST gaires( standartą) yra lygiavertis ISO 27001 standartui ir trečiojo asmens pasiūlymas turėjo būti atmestas ir vertinant šį aspektą.

89. Kasacinio teismo praktikoje pažymima, kad tiekėjo kvalifikacija yra suprantama kaip jo pajėgumas ir pasiruošimas tinkamai įvykdyti ketinamus prisiimti įsipareigojimus pagal viešojo pirkimo sutartį, kurie apima ar gali apimti ekonominį, techninį, profesinį pajėgumą, teisę verstis tam tikra veikla ar tam tikrų kokybės vadybos sistemų įdiegimą ir pan. (Lietuvos Aukščiausiojo Teismo 2011 m. birželio 27 d. nutartis civilinėje byloje Nr. 3K-3-293/2011; 2022 m. gruodžio 7 d. nutartis civilinėje byloje Nr. e3K-3-264-378/2022, 54 punktas).