Sygn. akt: KIO 4605/24
WYROK
Warszawa, dnia 7 stycznia 2025 r.
Krajowa Izba Odwoławcza - w składzie:
Przewodnicząca:Irmina Pawlik
Protokolant:
Piotr Cegłowski
po rozpoznaniu na rozprawie w dniu 3 stycznia 2025 r. w Warszawie odwołania wniesionego do Prezesa Krajowej Izby
Odwoławczej w dniu 6 grudnia 2024 r. przez wykonawcę ADT Group Spółka z ograniczoną odpowiedzialnością z
siedzibą w Warszawie w postępowaniu prowadzonym przez zamawiającego Zamek Królewski na Wawelu – Państwowe
Zbiory Sztuki z siedzibą w Krakowie
przy udziale uczestnika po stronie zamawiającego: wykonawcy STORIO Spółka z ograniczoną odpowiedzialnością
Spółka komandytowa z siedzibą w Wieliczce
orzeka:
1.oddala odwołanie,
2.kosztami postępowania obciąża odwołującego ADT Group Spółka z ograniczoną odpowiedzialnością z siedzibą w
Warszawie i zalicza do kosztów postępowania odwoławczego kwotę 15 000 zł 00 gr (słownie: piętnaście tysięcy
złotych zero groszy) uiszczoną przez odwołującego tytułem wpisu od odwołania.
Na orzeczenie - w terminie 14 dni od dnia jego doręczenia - przysługuje skarga za pośrednictwem Prezesa Krajowej Izby
Odwoławczej do Sądu Okręgowego w Warszawie - Sądu Zamówień Publicznych.
Przewodnicząca:………….………….................
Sygn. akt: KIO 4605/24
Uzasadnienie
Zamawiający Zamek Królewski na Wawelu – Państwowe Zbiory Sztuki z siedzibą w Krakowie(dalej jako
„Zamawiający”) prowadzi postępowanie o udzielenie zamówienia w trybie przetargu nieograniczonego na dostawę,
zainstalowanie i uruchomienie w siedzibie Zamku Królewskiego na Wawelu – Państwowych Zbiorów Sztuki, obiektowo
plikowego systemu przetwarzania danych w ramach modernizacji infrastruktury przechowywania danych Zamawiającego
(wewnętrzny identyfikator: DZP-271-61/24). Ogłoszenie o zamówieniu zostało opublikowane w Dzienniku Urzędowym
Unii Europejskiej S 194/2024 nr 598724-2024 w dniu 4 października 2024 r. Do ww. postępowania o udzielenie
zamówienia zastosowanie znajdują przepisy ustawy z dnia 11 września 2019 r. - Prawo zamówień publicznych (t.j. Dz.
U. z 2024 r. poz. 1320, dalej „ustawa Pzp”). Wartość szacunkowa zamówienia przekracza progi unijne, o których mowa
w art. 3 ustawy Pzp.
W dniu 6 grudnia 2024 r. wykonawca ADT Group Spółka z ograniczoną odpowiedzialnością z siedzibą w
Warszawie (dalej jako „Odwołujący”) wniósł odwołanie wobec czynności odrzucenia oferty Odwołującego. Odwołujący
zarzucił czynnościom Zamawiającego naruszenie art. 226 ust. 1 pkt 5) w zw. z art. 239 ust. 1 ustawy Pzp poprzez
odrzucenie oferty Odwołującego z uwagi na niezgodność jej treści z warunkami zamówienia w zakresie, w jakim
zaoferowane rozwiązanie ma nie posiadać wymaganego w pkt 8.6 Opisu przedmiotu zamówienia (dalej jako „OPZ”)
certyfikatu bezpieczeństwa danych FIPS140-2, podczas gdy zaoferowane rozwiązanie posiada ten certyfikat – czego
konsekwencją jest wybór oferty wykonawcy STORIO Spółka z ograniczoną odpowiedzialnością Spółka komandytowa
z siedzibą w Wieliczce (dalej jako „Przystępujący”) jako najkorzystniejszej.
Odwołujący wniósł o uwzględnienie odwołania i nakazanie Zamawiającemu unieważnienia czynności odrzucenia
oferty Odwołującego oraz czynności wyboru oferty najkorzystniejszej, przeprowadzenia ponownego badania i oceny ofert
w postępowaniu przy uwzględnieniu oferty Odwołującego oraz wyboru oferty Odwołującego jako najkorzystniejszej.
Odwołujący wniósł także o zasądzenie na jego rzecz kosztów postepowania, w tym kosztów zastępstwa według spisu,
który złożony zostanie na rozprawie.
Zamawiający w dniu 27 grudnia 2024 r. złożył pisemną odpowiedź na odwołanie, w której wniósł o oddalenie
odwołania w całości.
Przystępujący w dniu 27 grudnia 2024 r. złożył pismo procesowe, w którym wniósł o oddalenie odwołania w całości.
Po przeprowadzeniu rozprawy z udziałem Stron i Uczestnika postępowania odwoławczego, na podstawie
zgromadzonego w sprawie materiału dowodowego, uwzględniając akta sprawy odwoławczej, Krajowa Izba
Odwoławcza ustaliła i zważyła, co następuje.
Izba stwierdziła skuteczność przystąpienia zgłoszonego do postępowania odwoławczego po stronie
Zamawiającego przez wykonawcę STORIO Spółka z ograniczoną odpowiedzialnością Spółka komandytowa z siedzibą
w Wieliczce.
Izba stwierdziła, że nie została wypełniona żadna z przesłanek skutkujących odrzuceniem odwołania w całości na
podstawie art. 528 ustawy Pzp.
Izba stwierdziła, że Odwołujący, jako podmiot, którego oferta została odrzucona jako niezgodna z warunkami
zamówienia i który w dordze wniesionego środka ochrony prawnej dąży do unieważnienia tej czynności, jak i czynności
wyboru oferty najkorzystniejszej, posiada interes w uzyskaniu zamówienia oraz może ponieść szkodę w wyniku
naruszenia przez Zamawiającego przepisów ustawy Pzp, czym wypełnił materialnoprawne przesłanki dopuszczalności
odwołania, o których mowa w art. 505 ust. 1 ustawy Pzp.
Izba rozstrzygając sprawę uwzględniła dokumentację postępowania o udzielenie zamówienia przekazaną przez
Zamawiającego, w szczególności treść ogłoszenia o zamówieniu i dokumentów zamówienia, oferty wykonawców,
wezwania kierowane do Odwołującego oraz złożone przez niego w odpowiedzi wyjaśnienia, zawiadomienie o wyborze
oferty najkorzystniejszej oraz o odrzuceniu oferty Odwołującego. Ponadto Izba uwzględniła stanowiska Stron i Uczestnika
przedstawione w pismach oraz na rozprawie, a także dopuściła i przeprowadziła dowody z dokumentów:
1.złożonych przez Odwołującego:
-ogłoszenie o dostępności rozwiązania zaoferowanego przez Przystępującego wraz z tłumaczeniem;
-wyciąg z dokumentu Bezpieczeństwo informacji udostępnionego przez Ministerstwo Cyfryzacji;
-wyciąg z dokumentacji producenta NetApp wraz z tłumaczeniem;
-oświadczenie Huawei Polska;
-Dokumentacja produktu OceanStor Pacific Series (wyd. z 20.12.2024 r.) wraz z tłumaczeniem;
2.złożonych przez Zamawiającego:
-pismo Zamawiającego do Przystępującego z dnia 13 grudnia 2024 r. oraz odpowiedź z dnia 17 grudnia 2024 r.
(korespondencja prowadzona w postępowaniu o udzielenie zamówienia);
-umowa nr 78/DF-V/EK/2024 na udzielenie dotacji celowej;
3.złożonych przez Przystępującego:
-wydruk z Programu walidacji algorytmów kryptograficznych wraz z tłumaczeniem;
-wydruk z Programu walidacji modułów kryptograficznych (certyfikat #3345) wraz z tłumaczeniem;
-wydruk z Programu walidacji modułów kryptograficznych (certyfikat #4838) wraz z tłumaczeniem.
Izba nie dopuściła dowodu z dokumentu załączonego do odpowiedzi Zamawiającego na odwołanie w postaci
wydruku z Programu walidacji modułów kryptograficznych (certyfikat #3345) oraz z dokumentu załączonego do pisma
Przystępującego w postaci wyciągu z dokumentu OceanStor Pacific Series Product Documentation z uwagi na ich
złożenie wyłącznie w wersji anglojęzycznej. Zgodnie z art. 506 ust. 1 ustawy Pzp postępowanie odwoławcze jest
prowadzone w języku polskim, a w myśl ust. 2 tego przepisu wszystkie dokumenty przedstawia się w języku polskim, a
jeżeli zostały sporządzone w języku obcym, strona oraz uczestnik postępowania odwoławczego, który się na nie
powołuje, przedstawia ich tłumaczenie na język polski. W uzasadnionych przypadkach Izba może żądać przedstawienia
tłumaczenia dokumentu na język polski poświadczonego przez tłumacza przysięgłego. Mając na uwadze ww. przepis
brak złożenia tłumaczenia wnioskowanych jako dowód dokumentów na język polski skutkował ich pominięciem.
Izba ustaliła, co następuje:
Zgodnie z pkt 5.1 SW Z przedmiotem zamówienia jest dostarczenie, zainstalowanie i uruchomienie w siedzibie
Zamku Królewskiego na Wawelu – Państwowych Zbiorów Sztuki obiektowo plikowego systemu przetwarzania danych,
zwanego dalej „Systemem” - w ramach modernizacji infrastruktury przechowywania danych Zamawiającego. Przedmiot
zamówienia obejmuje swoim zakresem: a) dostawę Systemu Obiektowo Plikowego Przetwarzania Danych; b)
wdrożenie Systemu w infrastrukturze Zamawiającego obejmujące jego instalację, uruchomienie i konfigurację; c)
wykonanie dokumentacji przedwdrożeniowej w oparciu o dokumentację Zamawiającego, wizję lokalną oraz zakres
określony przez Zamawiającego. Szczegółowe określenie sposobu realizacji przedmiotu zamówienia zawarte jest
w Szczegółowym Opisie Przedmiotu Zamówienia (stanowiącym Załącznik nr 1 do Specyfikacji) oraz Wzorze Umowy
(stanowiącym Załącznik nr 9 do Specyfikacji).
W OPZ, w rozdziale „Obiektowo Plikowy System Przetwarzania Danych (OPSPD)” w pkt 8.6 wskazano, że
oferowane rozwiązanie musi posiadać certyfikat bezpieczeństwa danych FIPS140-2.
W postępowaniu wpłynęły trzy oferty, w tym Odwołującego i Przystępującego.
Zamawiający w piśmie z 12 listopada 2024 r. na podstawie art. 224 ust. 2 pkt 1 ustawy Pzp wezwał Odwołującego
do złożenia wyjaśnień, w tym dowodów, w zakresie wyliczenia ceny z uwagi na fakt, że jest ona niższa o 32% od
wartości zamówienia. Zamawiający wymagał m.in., aby wykonawca przedstawił kalkulację obejmującą wszystkie koszty
realizacji przedmiotu zamówienia, w tym zestawienie wszystkich urządzeń, które zamierza użyć do jego wykonania (z
określeniem ich producenta, typu i nazwy handlowej) oraz koszty świadczenia serwisu gwarancyjnego przez
zaoferowany okres.
W wyjaśnieniach złożonych przez Odwołującego wskazano m.in., że w cenie oferty uwzględniono dostawę dwóch
kompletnych systemów obiektowo plikowych Huawei OceanStor Pacific 9950. Do wyjaśnień dołączono oświadczenie
firmy Huawei Polska Sp. z o.o. potwierdzające, że Odwołujący otrzymał od ww. firmy ofertę na zakup dwóch
kompletnych systemów obiektowo plikowych na bazie rozwiązania Huawei OceanStor Pacific 9950.
Zamawiający pismem z 26 listopada 2024 r. wezwał Odwołującego do złożenia dodatkowych wyjaśnień i
przedstawienia dodatkowych dowodów m.in. w następującym zakresie:
„Zamawiający w Opisie Przedmiotu Zamówienia w punkcie 8.6. wskazał, iż„Oferowane rozwiązanie musi posiadać
certyfikat bezpieczeństwa danych FIPS140-2”. Z przeprowadzonego badania Państwa wyjaśnień wynika, że oferowane
przez Państwa rozwiązanie nie posiada certyfikatu bezpieczeństwa danych FIPS140-2. W związku z tym prosimy o
wyjaśnienie tej kwestii i przedstawienie stosownych dowodów w postaci dokumentacji, z której treści wynika że
oferowane rozwiązanie posiada certyfikat bezpieczeństwa danych FIPS140-2.
W odpowiedzi na to wezwanie Odwołujący złożył wyjaśnienia, w których wskazał: „Zaoferowane rozwiązanie
posiada certyfikat bezpieczeństwa FIPS 140-2, który obejmuje modułydo składowania danych HSSD_V6będące
integralnym elementem całego zaoferowanego rozwiązania. Certyfikat ten dostępny jest pod URL:
https://csrc.nist.gov/projects/cryptographic-module-validation-program/certificate/4261
dodatkowo
szczegółowa
specyfikacja certyfikacji zawarta jest pod adresem: https://csrc.nist.gov/CSRC/media/projects/cryptographic-modulevalidation-program/documents/security-policies/140sp4261.pdf
Dodatkowo do wyjaśnień załączamy potwierdzenie spełnienia wymogu uzyskane od producenta oferowanego
rozwiązania.”
W załączonym do wyjaśnień oświadczeniu firmy Huawei Polska Sp. z o.o. wskazano, że oferowane rozwiązanie Huawei
OceanStor Pacific 9950: „Posiada certyfikat bezpieczeństwa danych FIPS140-2. Rozwiązanie zbudowane jest przy
wykorzystaniu modułów HSSD_V6 posiadających odpowiedni certyfikat bezpieczeństwa dostępny pod adresem
https://csrc.nist.gov/projects/cryptographic-module-validationprogram/certificate/4261.”
W piśmie z 29 listopada 2024 r. Zamawiający zawiadomił wykonawców o wyborze jako najkorzystniejszej oferty
Przystępującego. Jednocześnie poinformował o odrzuceniu dwóch pozostałych oferty, w tym Odwołującego. Oferta
Odwołującego została odrzucona na podstawie art. 226 ust. 1 pkt 5 ustawy Pzp jako niezgodna z warunkami
zamówienia. Uzasadniając powyższe Zamawiający wskazał, że wezwał Odwołującego do złożenia wyjaśnień
dotyczących ceny, a następnie do uzupełnienia tychże wyjaśnień, m.in. o przedstawienie informacji i dowodów na
okoliczność spełniania przez zaoferowane rozwiązanie wymogu wskazanego w punkcie 8.6. Opisu Przedmiotu
Zamówienia, tj.: „Oferowane rozwiązanie musi posiadać certyfikat bezpieczeństwa danych FIPS140-2”. W odpowiedzi na
to wezwanie Odwołujący wskazał, iż taki certyfikat posiadają moduły do składowania danych, będące integralnym
elementem całego zaoferowanego rozwiązania. Zaoferowanie tego rodzaju modelu wykonania przedmiotu zamówienia
zdaniem Zamawiającego uznać należy za sprzeczne z postanowieniami dokumentów postępowania, tj. punktu 8.6.
Opisu Przedmiotu Zamówienia, ponieważ Zamawiający oczekuje dostarczeniarozwiązania, które jako zorganizowana i
kompletna całość posiada certyfikat bezpieczeństwa FIPS 140-2. Nie stanowi zatem spełnienia tego wymagania
posiadanie stosownego certyfikatu tylko przez jeden z elementów proponowanego rozwiązania.
Izba zważyła, co następuje:
Biorąc pod uwagę zgromadzony w sprawie materiał dowodowy, poczynione ustalenia faktyczne oraz orzekając w
granicach zarzutów zawartych w odwołaniu, Izba stwierdziła, że odwołanie nie zasługuje na uwzględnienie.
Izba za niewykazany uznała zarzut naruszenia art. 226 ust. 1 pkt 5) w zw. z art. 239 ust. 1 ustawy Pzp poprzez
odrzucenie oferty Odwołującego z uwagi na niezgodność jej treści z warunkami zamówienia w zakresie, w jakim
zaoferowane rozwiązanie ma nie posiadać wymaganego w pkt 8.6 OPZ certyfikatu bezpieczeństwa danych FIPS140-2,
podczas gdy zaoferowane rozwiązanie posiada ten certyfikat, czego konsekwencją jest wybór oferty Przystępującego
jako najkorzystniejszej.
Zgodnie z art. 226 ust. 1 pkt 5) ustawy Pzp zamawiający odrzuca ofertę, jeżeli jej treść jest niezgodna z warunkami
zamówienia. Zgodnie zaś z art. 239 ust. 1 ustawy Pzp zamawiający wybiera najkorzystniejszą ofertę na podstawie
kryteriów oceny ofert określonych w dokumentach zamówienia.
Oferta Odwołującego została przez Zamawiającego odrzucona na podstawie art. 226 ust. 1 pkt 5) ustawy Pzp z
uwagi na jej niezgodność z pkt 8.6 OPZ, który brzmiał „oferowane rozwiązanie musi posiadać certyfikat bezpieczeństwa
danych FIPS 140-2.” Zasadnicza argumentacja zawarta w odwołaniu sprowadzała się do twierdzenia, że taki certyfikat
wydaje się wyłącznie dla modułów kryptograficznych, wobec czego fakt, że oferowany produkt ma moduł do składowania
danych posiadający certyfikat FIPS 140-2 oznacza, że produkt spełnia wymaganie z pkt 8.6 OPZ.
Odnosząc się do powyższego w pierwszej kolejności należy zauważyć, że literalne brzmienie pkt 8.6 OPZ
jednoznacznie wskazywało, że certyfikat bezpieczeństwa danych FIPS 140-2 musi posiadać oferowane rozwiązanie
(czyli Obiektowo Plikowy System Przetwarzania Danych - OPSPD), a nie jego określony element (moduł do składowania
danych HSSD_V6). W świetle treści pkt 8.6 OPZ Zamawiający wymagał rozwiązania, które jako zorganizowana
i kompletna całość posiada certyfikat bezpieczeństwa danych. Jeżeli Odwołujący uważał - jak podnosił w odwołaniu - że
nie jest możliwe uzyskanie certyfikatu FIPS140-2 dla całego rozwiązania, to jego obowiązkiem, jako profesjonalisty, było
przede wszystkim zwrócić uwagę na powyższe jeszcze na etapie kształtowania treści dokumentów zamówienia (jeśli
nie w drodze odwołania, to przynajmniej w trybie wyjaśnienia treści SW Z poprzez zadanie pytania co Zamawiający
rozumie przez ten wymóg i w jakim przypadku uzna, że jest on spełniony). Powoływanie się na obecnym etapie na
nieprecyzyjność pkt 8.6 OPZ czy jego inną niż literalna interpretację jest działaniem spóźnionym.
Następnie należy wskazać, że w odpowiedzi na wezwanie Zamawiającego do wykazania zgodności oferty z
punktem 8.6 OPZ i przedstawienia dowodów w postaci dokumentacji, z której treści wynika że oferowane rozwiązanie
posiada certyfikat bezpieczeństwa danych FIPS 140-2, Odwołujący złożył wyjaśnienia, których treść nie potwierdza
posiadania przez oferowane rozwiązanie ww. certyfikatu. Nie wynika z nich również wskazana w odwołaniu okoliczność,
że nie jest możliwe pozyskanie certyfikatu FIPS 140-2 dla rozwiązania (Obiektowo Plikowego Systemu Przetwarzania
Danych). Wyjaśnienia te wskazują wyłącznie, że certyfikat bezpieczeństwa danych FIPS140-2 posiada moduł do
składowania danych HSSD_V6. Odwołujący jednak - ani w ramach wyjaśnień złożonych w postępowaniu o udzielenie
zamówienia, ani w postępowaniu odwoławczym - nie dowiódł, że sam fakt posiadania certyfikatu FIPS 140-2 przez
moduł do składowania danych HSSD_V6, będący jednym z elementów oferowanego rozwiązania, jest wystarczający do
uznania, że całe rozwiązanie posiada certyfikat FIPS 140-2 (jak wymagano w pkt 8.6 OPZ) czy choćby, że jest ono
zgodne ze standardem FIPS 140-2. Jak wskazał Odwołujący w treści odwołania, w oparciu o ustalone zasady programu
CMVP (Program walidacji modułów kryptograficznych), „urządzenia wykorzystujące certyfikowane moduły są uznawane
za zgodne z FIPS 140-2, o ile zawierają te moduły oraz są odpowiednio skonfigurowane i wdrażają wymagane procedury
operacyjne”. Tym samym, bazując stricte na stanowisku samego Odwołującego, należy stwierdzić, że aby uznać, że
rozwiązanie jest zgodne z FIPS 140-2 nie wystarczy sam fakt posiadania przez to rozwiązanie certyfikowanego modułu
kryptograficznego, lecz konieczne jest także odpowiednie skonfigurowanie rozwiązania i wdrożenie wymaganych w
standardzie FIPS 140-2 procedur operacyjnych (zgodnie z publikowanymi przez NIST wytycznymi –FIPS 140-2
Implementation Guidance). Szereg wymagań i ograniczeń związanych z konfiguracją trybu zgodności urządzenia ze
standardem FIPS wynika także ze złożonej przez Odwołującego jako dowód dokumentacji produktu OceanStor Pacific
Series. W konsekwencji poprzestanie na wskazaniu w wyjaśnieniach złożonych przez Odwołującego w toku
postępowania o udzielenie zamówienia wyłącznie na fakt posiadania przez oferowane rozwiązanie określonych
certyfikowanych modułów kryptograficznych nie powinno być uznane za wystraczające do wykazania, że spełniono
wymaganie z pkt 8.6 OPZ, które nie odnosiło się do modułów, lecz do rozwiązania (całego systemu OPSPD).
Dalej należy zauważyć, że w wyjaśnieniach Odwołującego wskazano hiperłącze do certyfikatu dla modułu do
składowania danych HSSD_V6, w którym nie zawarto informacji o konfiguracji, w jakiej testowany był moduł (okoliczność
bezsporna). Tymczasem ze złożonych w postępowaniu odwoławczym przez Przystępującego dowodów (certyfikaty
#3345 oraz #4838) wynikało, że możliwe jest przeprowadzenie na potrzeby certyfikacji testów modułu kryptograficznego
w określonym środowisku systemowym (konfiguracji). Znajduje to pośrednio potwierdzenie również w treści odwołania,
gdzie wskazano, że NIST przewiduje dwa przypadki użycia modułów kryptograficznych: „moduł może być częścią
składową produktu lub aplikacji albo kompletnym produktem samym w sobie”. Odwołujący nie przedstawił żadnych
twierdzeń i dowodów, które podważałyby możliwość przetestowania modułu jako części składowej produktu - macierzy
w konkretnej konfiguracji. Odwołujący jedynie próbował podważyć wiarygodność certyfikatu #3345 wskazując, że nie
może on dotyczyć rozwiązania oferowanego przez Przystępującego z uwagi na podaną tam datę walidacji, powyższe
pozostaje jednak bez znaczenia dla istoty sprawy, tj. dla ustalenia czy istnieje możliwość przeprowadzenia certyfikacji
modułów kryptograficznych w określonym środowisku systemowym. Izba wskazuje, że twierdzenia Odwołującego
dotyczące zgodności oferty Przystępującego z wymaganiem z pkt 8.6 OPZ pozostają irrelewantne dla rozstrzygnięcia,
ponieważ okoliczność ta nie była objęta zakresem zaskarżenia. Odwołujący nie stawiał zarzutu zaniechania odrzucenia
oferty Przystępującego na podstawie art. 226 ust. 1 pkt 5 ustawy Pzp. W konsekwencji bez wpływu na rozstrzygnięcie
pozostawał także dowód z dokumentu informującego o dostępności rozwiązania zaoferowanego przez Przystępującego
w drugim kwartale 2023 r. Również złożone przez Odwołującego dowody w postaci wyciągu z dokumentu
Bezpieczeństwo informacji udostępnionego przez Ministerstwo Cyfryzacji oraz wyciągu z dokumentacji producenta
NetApp nie wpłynęły zasadniczo na ocenę Izby, ponieważ nie wykazywały, że samo wyposażenie rozwiązania (OPSPD)
w certyfikowany moduł należy uznać za równoznaczne z posiadaniem przez OPSPD certyfikatu FIPS 140-2,
ewentualnie, że świadczy to o zgodności oferowanego rozwiązania ze standardem FIPS 140-2, ani nie odnosiły się do
kwestii możliwości przeprowadzenia testów certyfikujących modułu kryptograficznego w konkretnym środowisku
systemowym (macierzy).
W tym stanie rzeczy, w ocenie Izby, Zamawiający na podstawie wyjaśnień złożonych przez Odwołującego w
postępowaniu o udzielenie zamówienia nie mógł potwierdzić czy oferowany produkt jako całość spełnia wymagany
standard bezpieczeństwa FIPS 140-2. W oparciu o treść wyjaśnień Zamawiający dysponował wyłącznie informacjami
dotyczącymi modułu HSSD_V6 oraz certyfikatem wydanym dla tego modułu jako samodzielnego produktu.
Wątpliwości w powyższym zakresie potęguje fakt, że wyjaśnienia złożone w postępowaniu o udzielenie
zamówienia nie były w pełni spójne ze stanowiskiem Odwołującego prezentowanym w postępowaniu odwoławczym. W
ramach wyjaśnień Odwołujący wskazał wyłącznie na posiadanie przez oferowane rozwiązanie certyfikatu FIPS 140-2
przez moduł HSSD_V6, natomiast w postępowaniu odwoławczym złożył jako dowód dokumentację produktu OceanStor
Pacific Series, z której wynika, że moduł HSSD_V6 zapewnia zgodność ze standardem FIPS 140-2 jedynie w zakresie
szyfrowania danych, natomiast w zakresie innych opisanych w Tabeli 1 funkcjonalności zgodność taką zapewnia Huawei
EulerOS 2.0 Open SSL Moduł hasła. Wskazana przez przedstawiciela producenta Huawei w oświadczeniu złożonym
jako dowód w postępowaniu odwoławczym równoważność obu ww. metod znajduje potwierdzenie w dokumentacji
produktu jedynie w odniesieniu do funkcjonalności szyfrowania danych, ale nie w odniesieniu do innych funkcjonalności
produktu OceanStor Pacific Series. W wyjaśnieniach złożonych w postępowaniu o udzielenie zamówienia nie powołano
się na okoliczność, że oferowane rozwiązanie, oprócz modułów HSSD_V6, oparte jest o system operacyjny EulerOS
2.0., którego elementem jest moduł Huawei EulerOS 2.0 OpenSSL Cryptographic Module, posiadający certyfikację FIPS
140-2 (#4235). Jak zaś wskazano już wcześniej, Odwołujący nie dowiódł, że samo posiadanie przez oferowane
rozwiązanie modułów HSSD_V6 należy uznać za równoważne z „posiadaniem przez oferowane rozwiązanie certyfikatu
FIPS 140-2” czy przynajmniej zapewnieniem zgodności oferowanej macierzy ze standardem FIPS 140-2. Przedstawione
w postępowaniu odwoławczym przez samego Odwołującego dowody temu przeczą.
Podsumowując powyższe Izba uznała stanowisko Odwołującego za nieprzekonujące, a złożone w postępowaniu
wyjaśnienia za niewykazujące zgodności oferty z warunkami zamówienia. W konsekwencji brak było podstaw do
uznania, że odrzucenie oferty Odwołującego naruszało przepisy ustawy Pzp. W odwołaniu nie postawiono zarzutów
skierowanych przeciwko ofercie Przystępującego, wobec czego również wybór oferty Przystępującego jako
najkorzystniejszej nie został podważony.
Jedynie w ramach uzupełnienia Izba wskazuje, że za irrelewantne dla rozstrzygnięcia uznała twierdzenia
Zamawiającego, że na obecnym etapie nie jest już możliwe udzielenie zamówienia z uwagi na konieczność zwrotu
udostępnionych mu w ramach dotacji celowej środków finansowych i brak możliwości sfinansowania zamówienia po 31
grudnia 2024 r. Do czasu zamknięcia rozprawy postępowanie o udzielenie zamówienia nie zostało przez Zamawiającego
unieważnione, Izba zaś wydając wyrok bierze za podstawę stan rzeczy ustalony w toku postępowania odwoławczego
(por. art. 552 ust. 1 ustawy Pzp). Ewentualne dalsze, hipotetyczne czynności Zamawiającego, nie mogą rzutować na
treść orzeczenia.
Biorąc pod uwagę wszystko powyższe Izba oddaliła odwołanie, co znalazło odzwierciedlenie w pkt 1 sentencji
wyroku.
O kosztach postępowania odwoławczego orzeczono w punkcie 2 sentencji wyroku, stosownie do wyniku
postępowania odwoławczego, na podstawie art. 557 i 575 ustawy Pzp oraz § 8 ust. 2 pkt 1 w zw. z § 5 pkt 1 i 2 lit. b)
Rozporządzenia Prezesa Rady Ministrów w sprawie szczegółowych rodzajów kosztów postępowania odwoławczego,
ich rozliczania oraz wysokości i sposobu pobierania wpisu od odwołania z dnia 30 grudnia 2020 r. (Dz. U. z 2020 r. poz.
2437).
Art. 557 ustawy Pzp wskazuje, że w wyroku oraz w postanowieniu kończącym postępowanie odwoławcze Izba
rozstrzyga o kosztach postępowania odwoławczego. Zgodnie z art. 575 ustawy Pzp strony oraz uczestnik postępowania
odwoławczego wnoszący sprzeciw ponoszą koszty postępowania odwoławczego stosownie do jego wyniku. Ponadto w
myśl § 8 ust. 2 pkt 1 ww. Rozporządzenia w przypadku oddalenia odwołania przez Izbę w całości, koszty ponosi
odwołujący. Izba zasądza koszty, o których mowa w § 5 pkt 2, od odwołującego na rzecz zamawiającego.
Z uwagi na oddalenie odwołania Izba kosztami postępowania obciążyła Odwołującego, zaliczając do kosztów
postępowania uiszczony przez Odwołującego wpis. Zamawiający nie składał w sprawie wniosków kosztowych popartych
rachunkami lub spisem kosztu.
Przewodnicząca:………….………….................