ДК 021:2015 72310000-1 Послуги з обробки даних (послуга з надання у користування хмарного середовища для обробки даних)

Текст рішення

РІШЕННЯ

№ 9338-р/пк-пз від 11.06.2025

Комісія Антимонопольного комітету України з розгляду скарг про порушення законодавства у сфері публічних закупівель (надалі – Комісія), розглянувши скаргу товариства з обмеженою відповідальністю "ДЕ НОВО" (код ЄДРПОУ: 35877574) від 25 травня 2025 № UA-2025-05-21-008465-a.b1 (надалі – Скарга) щодо порушення Замовником порядку проведення Процедури закупівлі,

ВСТАНОВИЛА:

Надалі за текстом вказаного рішення терміни та визначення:

- Закон України "Про публічні закупівлі" – Закон;

- Особливості здійснення публічних закупівель товарів, робіт і послуг для замовників, передбачених Законом України "Про публічні закупівлі", на період дії правового режиму воєнного стану в Україні та протягом 90 днів з дня його припинення або скасування, затверджені Постановою Кабінету Міністрів України від 12.10.2022 № 1178 "Про затвердження особливостей здійснення публічних закупівель товарів, робіт і послуг для замовників, передбачених Законом України "Про публічні закупівлі", на період дії правового режиму воєнного стану в Україні та протягом 90 днів з дня його припинення або скасування" – Особливості;

- тендерна документація – Документація;

- тендерна пропозиція – Пропозиція.

Скаржник повідомляє про порушення Замовником порядку проведення Процедури закупівлі та просить, зокрема, зобов'язати Замовника внести зміни до Документації.

Рішенням Комісії від 27.05.2025 № 8385-р/пк-пз Скарга була прийнята до розгляду.

На веб-порталі Уповноваженого органу (prozorro.gov.ua) Комісією було зобов’язано Замовника надати пояснення по суті Скарги.

Замовник шляхом розміщення листа на веб-порталі Уповноваженого органу надав пояснення по суті Скарги.

Скаржник та Замовник 03.06.2025 надали додаткові пояснення до Скарги.

Розглянувши Скаргу та інформацію, одержану за Скаргою, та інформацію, розміщену в електронній системі закупівель, встановлено наступне.

1. Скаржник зазначає, що згідно з підпунктом 5 п.2 додатку 1 Документації та в інших розділах тендерної документації, Замовник вимагає надати:

"Чинний атестат відповідності КСЗІ системи хмарних обчислень на існуючу інформаційну систему, що належить Учаснику та розміщується в Центрах Обробки Даних (основному та резервному), який/і засвідчує/ють, що КСЗІ інформаційно-комунікаційної системи Учасника забезпечує захист інформації відповідно до вимог нормативних документів з технічного захисту інформації.

… Надати титульну(ні) сторінку(ки) експертного висновку до наданого атестату(ів) відповідності, сторінку(ки) експертного висновку, де зазначено інформацію, що ІКС Учасника розгорнута на декількох (не менше двох) технічних майданчиках та сторінку(ки) з інформацією про програмне забезпечення на базі якого функціонує платформа віртуалізації. Програмне забезпечення на базі якого функціонує ІКС Учасника повинно відповідати вимогам Технічного завдання (Додаток 3 до цієї Тендерної документації).

В якості підтвердження також допускається надання двох атестатів КСЗІ, які належать Учаснику на основну ІТС (основний ХЦОД) та резервну ІТС (резервний ХЦОД)".

Іншими словами, Замовнику важливо отримати від Учасника підтвердження наявності захисту інформації в системах хмарних обчислень на основному (Майданчик №1) та резервному (Майданчик №2) майданчиках Учасника та її відповідності вимогам нормативних документів із технічного захисту інформації.

При цьому, Замовник встановив однакові способи підтвердження відповідності і для основного, і для резервного майданчиків – надання Атестату відповідності КСЗІ (з деякими сторінками експертного висновку, який є невід’ємною частиною Атестату відповідності

КСЗІ).

Скаржник має у своїй власності хмарні платформи, які розгорнуті щонайменше на двох майданчиках в Україні. При цьому, наявність захисту інформації в системах хмарних обчислень (хмарні платформи) кожного з майданчиків Суб’єкта оскарження засвідчено одним і тим самим державним органом: ДЕРЖАВНОЮ СЛУЖБОЮ СПЕЦІАЛЬНОГО ЗВ’ЯЗКУ ТА ЗАХИСТУ ІНФОРМАЦІЇ УКРАЇНИ (далі – Держспецзв’язок), а саме:

• Атестат відповідності комплексної системи захисту інформації "Розподілена платформа хмарних обчислень для надання послуг публічної, колективної та приватної хмари за моделями "інфраструктура як сервіс" (IaaS) та "платформа як сервіс" (PaaS)", що належить ТОВ "ДЕ НОВО", забезпечує захист інформації відповідно до вимог нормативних документів із технічного захисту інформації (для майданчика, розташованого в м. Києві) – Доказ 1.1, включаючи сторінки експертного висновку, який є невід’ємною частиною Атестату відповідності – Доказ 1.2;

• Експертний висновок, за результатами експертизи якого встановлено, що організаційно-технічне рішення для комплексної системи захисту інформації типової приватної хмарної інфраструктури, що належить ТОВ "ДЕ НОВО", відповідає вимогам нормативних документів із технічного захисту інформації (для майданчиків, розташованих будь-де) – Доказ 1.3, включаючи сторінки, які по своєму змісту аналогічні сторінкам експертного висновку до Атестату відповідності КСЗІ – Доказ 1.4.

Скаржник зазначає, що текст з експертного висновку до Атестату відповідності КСЗІ містить інформацію, зокрема:

Атестат відповідності комплексної системи захисту інформації "Розподілена платформа хмарних обчислень для надання послуг публічної, колективної та приватної хмари за моделями "інфраструктура як сервіс" (IaaS) та "платформа як сервіс" (PaaS)", що належить ТОВ "ДЕ НОВО", забезпечує захист інформації відповідно до вимог нормативних документів із технічного захисту інформації. Експертний висновок на 69 аркушах додається до цього Атестата та є його невід’ємною частиною.

Зареєстровано в Адміністрації Державної служби спеціального зв’язку та захисту інформації України.

Друга сторінка містить "Технічні засоби ІТС розміщені за адресою: м. Київ,…".

Третя сторінка містить "ІТС розгортається з використанням платформи віртуалізації VMware vSphere ESXi …, яка належить ТОВ "ДЕ НОВО"." Скаржник зазначає, що текст з експертного висновку до організаційно-технічного рішення для КСЗІ містить інформацію, зокрема:

Експертний висновок, за результатами експертизи якого встановлено, що організаційно-технічне рішення для комплексної системи захисту інформації типової приватної хмарної інфраструктури, що належить ТОВ "ДЕ НОВО", відповідає вимогам нормативних документів із технічного захисту інформації.

Зареєстровано в Адміністрації Державної служби спеціального зв’язку та захисту інформації України.

Третя сторінка містить "Приватна хмарна інфраструктура ІТС розміщується або на одному технічному майданчику з інформаційно-телекомунікаційною системою "Централізована система управління хмарними сервісами", або на віддалених технічних майданчиках". Резервний майданчик ТОВ "ДЕ НОВО" розміщено у м. Львів.

Перша сторінка містить "В якості платформи віртуалізації використовується гіпервізор VMware vSphere ESXi".

Таким чином, Скаржник може підтвердити наявність захисту інформації в системах хмарних обчислень на основному майданчику – Атестатом відповідності КСЗІ (включаючи сторінки експертного висновку, які вимагає Замовник) та резервному майданчику – Експертним висновком до організаційно-технічного рішення для КСЗІ (включаючи сторінки експертного висновку, які вимагає Замовник), так як на сторінках обох експертних висновків зазначено 1) інформацію про програмне забезпечення на базі якого функціонує платформа віртуалізації (в обох випадках - VMware vSphere ESXi) та в сукупності два експертних висновки доводять, що ІКС ТОВ "ДЕ НОВО" розгорнута на декількох (не менше двох) технічних майданчиках.

Тим не менше, Скаржник, маючи необхідну матеріально-технічну базу, обладнання та технології для надання послуг, які є предметом Закупівлі та, відповідаючи усім вимогам нормативних документів з технічного захисту інформації, не взмозі прийняти участь в Закупівлі через обмеження Замовником способів підтвердження наявності захисту інформації в системах хмарних обчислень на основному та резервному майданчиках Скаржника, що є дискримінаційним по відношенню до Скаржника.

Скаржник просить зобов’язати Замовника внести наступні зміни в Документацію Замовника:

До Документації Замовника (зокрема, до підпункту 5 п.2 "Інформація та документи, на підтвердження відповідності учасника та пропозиції умовам тендерної документації" Додатку 1 до ТД) додати у вимогу до способу підтвердження наявності захисту інформації в системі хмарних обчислень резервного майданчика (Майданчик №2) можливість надання Учасниками титульної сторінки Експертного висновку до організаційно-технічного рішення для КСЗІ та відповідних сторінок для надання інформації про програмне забезпечення на базі якого функціонує платформа віртуалізації.

Замовник зазначає, що у межах своєї компетенції та у відповідності до специфіки предмета закупівлі, встановив вимогу про підтвердження захисту інформації на обох майданчиках учасника — основному та резервному. Єдиним документом, згідно з пунктами 1.2 та 3.1 ДСТУ 5.3:2017, а також п. 2.4 Порядку забезпечення ТЗІ (затвердженого Наказом Адміністрації Держспецзв’язку № 808 від 26.12.2005 року (зі змінами), що підтверджує відповідність інформаційно-комунікаційної системи вимогам ТЗІ, є Атестат відповідності

КСЗІ.

Надання лише експертного висновку до організаційно-технічного рішення не підтверджує фактичну реалізацію усіх заходів із захисту інформації, зокрема на резервному майданчику. Крім того, у предметі закупівлі йдеться про потенційне розміщення даних критичної інфраструктури, що вимагає гарантій безперебійного захисту. Пропозиція Скаржника щодо резервного майданчику, використовувати Організаційно-Технічне Рішення (ОТР) на розгортання Комплексної Системи Захисту Інформації (КСЗІ) типової приватної хмарної інфраструктури не відповідає цілям та вимогам предмету закупівлі, тому що ОТР це лише задекларовані правила на побудову Комплексної Системи Захисту Інформації типової приватної хмарної інфраструктури, а не готове КСЗІ.

Державна служба спеціального зв'язку та захисту інформації України у своїх роз'ясненнях наголошує:

"Атестат відповідності КСЗІ є результатом проведення державної експертизи у сфері технічного захисту інформації, яка проводиться відповідно до Положення про державну експертизу у сфері технічного захисту інформації, яке затверджене наказом Адміністрації Держспецзв’язку від 16.05.2007 № 93, зареєстрованим у Міністерстві юстиції України 16.07.2007 за № 820/14087.

Експертиза проводиться організатором експертизи (установою, яка має відповідну ліцензію) на договірних засадах, які у тому числі передбачають і терміни проведення робіт, що залежать від складності системи, досвіду експертів, якості побудови та документування КСЗІ тощо. За практикою, середній термін проведення експертизи КСЗІ інформаційної системи становить три місяці. У разі позитивних результатів експертизи Адміністрацією Держспецзв’язку реєструється атестат відповідності КСЗІ".

Крім того, у минулих закупівлях, Скаржник більше шести місяців тому стверджував, що його резервна хмарна ІКС знаходиться на стадії атестації.

Зважаючи на заявлену практику Адміністрації Держспецзв’язку, щодо термінів проведення експертиз КСЗІ у Скаржника було достатньо часу, щоб отримати атестат відповідності на резервну хмарну інфраструктуру.

Формулювання Скаржника "додати у вимогу до способу підтвердження наявності захисту інформації в системі хмарних обчислень резервного майданчика (Майданчик №2) можливість надання Учасниками титульної сторінки Експертного висновку до організаційно-технічного рішення для КСЗІ" не гарантує успішної атестації на відповідність вимогам КСЗІ, а відтак не гарантує отримання Атестату відповідності КСЗІ згідно чинного законодавства у сфері захисту інформації в інформаційних, електронних, комунікаційних та інформаційно-комунікаційних системах.

Резервна хмарна інфраструктура виконує важливу функцію зберігання резервних копій (бекапів) критичної інформації, що є невіддільною частиною процесу обробки даних та згідно Закону України "Про захист інформації в інформаційно-комунікаційних системах", така інформація повинна оброблятися виключно в системі із застосуванням КСЗІ. Формулювання, запропоноване Скаржником, не гарантує, що ІКС, що розгорнута в резервному майданчику отримає атестат відповідності КСЗІ. Це створює ризики для захисту даних Замовника, оскільки процес атестації може не завершитися успішно, а наявність лише організаційно-технічного рішення КСЗІ не гарантує повноцінного захисту інформації.

Вказані вимоги жодним чином не порушують законодавство та не можуть вважатися дискримінаційними, оскільки вони встановлюють лише певні технічні параметри щодо захисту інформації та містять вимоги регулятора щодо систем технічного захисту інформації.

Зважаючи на вимоги законодавства, Замовник зобов’язаний забезпечити відповідність майданчиків обробки даних всім стандартам технічного захисту інформації.

Недостатність лише проектного висновку без реалізованої системи ТЗІ не відповідає цілям, задекларованим у закупівлі, та суперечить підзаконним актам ДССЗЗІ. Відповідно, вимога надання атестата або атестатів, що підтверджують наявність атестованої хмарної інфраструктури на обох майданчиках — не дискримінаційна, а правомірна, обґрунтована та технічно необхідна.

Скаржник у додаткових поясненнях зазначає, що враховуючи положення п.20 Правил "Вимоги та порядок створення системи захисту встановлюються Адміністрацією Держспецзв'язку" та враховуючи п.5 "ПОЛОЖЕННЯ про державну експертизу у сфері технічного захисту інформації", затверджену Наказом Адміністрації Державної служби спеціального зв’язку та захисту інформації України 16 травня 2007 № 93 (далі – Положення):

"5. Експертиза КСЗІ, засобів ТЗІ та ОТР КСЗІ є процедурою підтвердження відповідності КСЗІ, засобів ТЗІ та ОТР КСЗІ вимогам нормативних документів з ТЗІ", та враховуючи визначення ОТР КСЗІ в Положенні: організаційно-технічне рішення для впровадження типової компоненти КСЗІ в ІКС - задокументоване уніфіковане рішення для багаторазового розгортання складових КСЗІ в ІКС, самодостатнє для вирішення певного завдання, що містить проєктні рішення програмно-технічного комплексу, організаційнотехнічні рішення щодо регламенту функціонування типової компоненти ІКС та опис (алгоритм) процедури впровадження (розгортання) компоненти КСЗІ в ІКС, Скаржник робить висновок, що ОТР КСЗІ - є достатнім підтвердженням фактичної реалізації усіх заходів із захисту інформації, зокрема на резервному майданчику та гарантує успішну атестацію на відповідність вимогам КСЗІ, а відтак гарантує отримання Атестату відповідності КСЗІ згідно з чинним законодавством у сфері захисту інформації.

Скаржник може підтвердити наявність захисту інформації в системах хмарних обчислень на основному майданчику – Атестатом відповідності КСЗІ (включаючи сторінки експертного висновку, які вимагає Замовник) та резервному майданчику – Експертним висновком до організаційно-технічного рішення для КСЗІ (включаючи сторінки експертного висновку, які вимагає Замовник), так як обидва експертні висновки є достатнім (згідно з законодавчими актами про захист інформації) підтвердженням фактичної реалізації усіх заходів із захисту інформації, як на основному, так і на резервному майданчиках, на сторінках обох експертних висновків зазначено інформацію про програмне забезпечення на базі якого функціонує платформа віртуалізації (в обох випадках - VMware vSphere ESXi) та в сукупності два експертних висновки доводять, що ІКС ТОВ "ДЕ НОВО" розгорнута на декількох (не менше двох) технічних майданчиках.

Замовник у додаткових поясненнях зазначає, що Закон України "Про захист інформації в інформаційно-комунікаційних системах" фіксує, що ІКС діє як одне ціле, та розшифровує поняття обробки інформації (збирання, введення, записування, перетворення, зчитування, зберігання, знищення, реєстрації, приймання, отримання, передавання) тож з впевненістю можна вважати, що вся обробка інформації, в томі числі резервування даних, створення бекапів та інше, фіксується, як обробка інформації та входять до ІКС і має бути захищено КСЗІ.

Замовник зауважує, що при встановленні даної вимоги керувався Законом України "Про захист інформації в інформаційно-комунікаційних системах", адже атестат відповідності КСЗІ є результатом проведення державної експертизи у сфері технічного захисту інформації, яка проводиться відповідно до "Положення про державну експертизу у сфері технічного захисту інформації", яке затверджене наказом Адміністрації Держспецзв’язку від 16.05.2007 № 93, зареєстрованим у Міністерстві юстиції України 16.07.2007 за № 820/14087.

ОТР КСЗІ — це лише шаблон/проект, а не реалізована система.

Спростування Скаржника виглядає як спроба замінити результат реалізованої КСЗІ (атестат) попереднім проєктом, що не відповідає вимогам ст. 8 ЗУ № 80/94-ВР, а також п.

1.2, 2.4 ДСТУ 5.3:2017 та Порядку № 808 від 26.12.2005.

Вимога Замовника про надання саме Атестата КСЗІ як на основну, так і резервну хмарну інфраструктуру — є правомірною, заснованою на законі та підтверджує реальний, а не формальний рівень інформаційної безпеки.

У ході розгляду зазначеного питання встановлено наступне.

Додаток 1 Документації містить розділ 2. Інформація та документи, на підтвердження відповідності Учасника та пропозиції умовам тендерної документації, зокрема:

5) Чинний атестат відповідності КСЗІ системи хмарних обчислень на існуючу інформаційну систему, що належить Учаснику та розміщується в Центрах Обробки Даних (основному та резервному), який/і засвідчує/ють, що КСЗІ інформаційно-комунікаційної системи Учасника забезпечує захист інформації відповідно до вимог нормативних документів з технічного захисту інформації.

Атестат(и) відповідності КСЗІ має/ють бути виданий/і суб’єктом господарювання, що має ліцензію на провадження господарської діяльності з надання послуг у галузі криптографічного захисту інформації (крім послуг електронного цифрового підпису) та технічного захисту інформації, за переліком, що визначається Кабінетом Міністрів України. Замовник самостійно перевіряє чинність ліцензії суб’єкта господарювання за посиланням https://data.gov.ua/dataset/97852d93-dd32-4771-a1a8-351a1faddd0e.

Діючий(і) атестат(и) відповідності КСЗІ на існуючу інформаційну систему може/уть надаватися без документів, які є його невід’ємною частиною (на розсуд Учасника).

Надати титульну(ні) сторінку(ки) експертного висновку до наданого атестату(ів) відповідності, сторінку(ки) експертного висновку, де зазначено інформацію, що ІКС Учасника розгорнута на декількох (не менше двох) технічних майданчиках та сторінку(ки) з інформацією про програмне забезпечення на базі якого функціонує платформа віртуалізації. Програмне забезпечення на базі якого функціонує ІКС Учасника повинно відповідати вимогам Технічного завдання (Додаток 3 до цієї Тендерної документації).

В якості підтвердження також допускається надання двох атестатів КСЗІ, які належать Учаснику на основну ІТС (основний ХЦОД) та резервну ІТС (резервний ХЦОД).

У зв’язку з введенням в Україні воєнного стану, керуючись пунктом 27 Особливостей, для забезпечення безпеки Замовника та з метою захищення існуючих інформаційних систем Замовника, інформація щодо місцерозташування/місцезнаходження ХЦОД (основного та резервного) в скан-копії/копії наданих сторінок експертного висновку до чинного (их) атестата (ів) відповідності КСЗІ має бути зачорнена, окрім регіону України (області) та/або населеного пункту (міста).

В якості підтвердження місцерозташування/місцезнаходження ХЦОД (основного та резервного) допускається також надання додаткових підтверджуючих документів, якщо вони мають відношення до наданої Учасником інформації, яка міститься на сторінці(ках) експертного висновку до наданого атестату(ів) відповідності КСЗІ та якщо в них міститься інформація щодо місцерозташування/ місцезнаходження ХЦОД (основного та резервного).

У разі надання таких додаткових підтверджуючих документів, інформація щодо місцерозташування/ місцезнаходження ХЦОД (основного та резервного) має бути зачорнена, окрім регіону України (області) та/або населеного пункту (міста).

Додаток 3 Документації містить ТЕХНІЧНЕ ЗАВДАННЯ код ДК 021:2015 – 72310000-1 Послуги з обробки даних (послуга з надання у користування хмарного середовища для обробки даних).

2. Терміни та визначення, зокрема:

2.4. ХЦОД (основний та резервний Хмарний Центр Обробки Даних) – це хмарна інфраструктура, що на логічному рівні охоплює певний набір апаратних обчислювальних ресурсів Виконавця, яка є у володінні, керуванні та експлуатації Виконавця та призначені для розміщення сервісів Замовника. При цьому сервери, мережні пристрої та сховища використовуються виключно для розміщення сервісів Замовника (не містять сервісів інших клієнтів Виконавця), мають відокремлену систему управління та розміщені у Дата-центрі у окремій апаратній шафі.

2.32. Інформаційно-комунікаційна система (ІКС) — сукупність інформаційних та електронних комунікаційних систем, які у процесі обробки інформації діють як єдине ціле.

Таблиця №4 містить, зокрема:

Загальний опис до послуги Послуги з надання у користування серверних потужностей хмарного середовища для обробки та зберігання даних включають в себе розміщення існуючих інформаційних систем Замовника у Хмарному Центрі Обробки Даних (Майданчик №1) та зберігання резервних копій (сервіс резервного копіювання) (Майданчик №2). Інформаційно-комунікаційна система Учасника, на базі якої будуть надаватися послуги, повинна бути атестована на відповідність вимогам Комплексної Системи Захисту Інформації (КСЗІ) та розгорнута на двох технічних майданчиках Учасника. Закупівля даних послуг здійснюється для існуючих інформаційних систем Замовника, які розгорнуті та функціонують на базі програмного забезпечення гіпервізора VMWare. Таким чином Хмарний Центр Обробки Даних має бути побудованим на програмному забезпеченні гіпервізора VMware або на альтернативному програмному забезпеченні, що є повністю сумісним з VMware. Вимогу сумісності ПЗ Гіпервізора з VMWare слід розглядати як одну з вимог до базової архітектури інфраструктурної платформи, що продиктована поточними архітектурою та конфігурацією інформаційних систем Замовника.

Вимоги до ХЦОД Виконавця 1. Виконавець повинен надати послуги хмарної інфраструктури з використанням програмного забезпечення VMware або альтернативного програмного забезпечення з виконанням всіх вимог.

2. Виконавець повинен надати доступ до порталу та/або графічного інтерфейсу адміністратора, який дозволяє Замовнику управляти віртуальними машинами, що створюються.

3. Хмарна інфраструктура Виконавця повинна забезпечити безпечну конвертацію файлів vmx (конфігураційний файл віртуальної машини) та vmdk (формат файлу віртуально о диску), без додаткової оплати з боку Замовника.

4. Хмарна інфраструктура Виконавця повинна забезпечити безпечну заміну драйверів віртуального диску та віртуальної мережевої карти в гостьових операційних системах на драйвери, що підтримуються Гіпервізором, в тому числі під час міграції віртуальних машин з власної інфраструктури Замовника у хмару Виконавця без додаткової оплати з боку Замовника.

5. Виконавець повинен забезпечує наступні вимоги до граничного маршрутизатора ХЦОД (не гірше): може бути фізичний чи віртуальний пристрій, інтерфейс підключення на швидкості 1Гбіт/с, фактична гарантована полоса пропускання не менше 800Мбіт/с, підтримка DNAT/SNAT для IP адрес та портів в залежності від IP адрес, портів та протоколів, ACL, інтерфейс управління для Замовника.

6. Хмарна інфраструктура Виконавця повинна забезпечити наявність REST API для можливості автоматизації рутинних завдань по управлінню хмарною інфраструктурою.

Виконавець повинен надати посилання на технічну документацію виробника.

7. Наявність Terraform Provider для вказаного REST API. В якості підтвердження Учасник повинен надати посилання на відповідний Terraform Provider в реєстрі Terraform Registry (https://registry.terraform.io/). Terraform Provider для вказаного REST API повинен мати статус "Official" або "Partner".

8. Виконавець повинен забезпечити автоматичне переключення віртуальної машини на інший фізичний сервер у випадку збою фізичного серверу, на якому була запущена віртуальна машина, таке переключення повинне відбуватись без зупинки роботи або перезавантаження віртуальної машини.

9. Виконавець повинен забезпечити на Майданчиках №1 та №2 застосування технології VXLAN або Geneve в броадкаст-режимі.

10. Виконавець повинен забезпечити на Майданчиках №1 та №2 рівень SLA відмовостійкості не менше ніж 99,95% на рік.

11. Виконавець повинен забезпечити на Майданчиках №1 та №2 використання віртуальних процесорів з тактовою частотою ядра не менше 2,6 ГГц.

12. Виконавець повинен забезпечити на Майданчиках №1 та №2 використання віртуальних дисків об’ємом, що можна підключити до однієї віртуальної машини, не менше 4 ТБ.

13. Хмарна інфраструктура Виконавця повинна забезпечити можливість самостійно створювати та налаштувати приватні мережі та підключати до них віртуальні сервери.

14. Хмарна інфраструктура Виконавця повинна забезпечити Виконавця повинна забезпечити можливість підключення не менше 2-х мережевих інтерфейсів на одну віртуальну машину.

15. Виконавець повинен забезпечити швидкість мережевих інтерфейсів, що підключаються до віртуальної машини не менше 10 Гбіт/с.

16. Виконавець забезпечує/гарантує повну ізоляцію даних Замовника, що зберігаються/обробляються у хмарній інфраструктури від інших користувачів та третіх осіб.

17. Виконавець забезпечує автоматичне переключення Віртуальної машини на інший фізичний сервер у випадку збою фізичного серверу, на якому була запущена Віртуальна машина. Час переключення не більше 10 хв. (не рахуючи запуск операційної системи та аплікацій).

18. Виконавець гарантує, що використовує лише ліцензійне програмне забезпечення.

19. Виконавець гарантує, що має дійсні ліцензії на все комерційне програмне забезпечення, що використовується для надання послуги.

20. Виконавець забезпечує захист від несанкціонованого доступу до інформації з використанням програмного забезпечення, які мають відповідні механізми (автентифікації, авторизації та аудиту).

Скаржник на розгляд Комісії надав, зокрема:

- АТЕСТАТ ВІДПОВІДНОСТІ № 23172 від 12.07.2021, відповідно до якого ТОВ "ЗАХИСТ.ЮЕЙ" засвідчує, що комплексна система захисту інформації інформаційнотелекомунікаційної системи "Розподілена платформа хмарних обчислень для надання послуг публічної, колективної та приватної хмари, за моделями "інфраструктура як сервіс" (IaaS) та "платформа як сервіс" (РaaS)", що належить ТОВ "ДЕ НОВО", код ЄДРПОУ 35877574, м. Київ забезпечує захист інформації відповідно до вимог нормативних документів із технічного захисту інформації;

- Додаток до атестата відповідності № 23172 від 12.07.2021 ЕКСПЕРТНИЙ ВИСНОВОК на Комплексну систему захисту інформації інформаційно-телекомунікаційної системи "Розподілена платформа хмарних обчислень для надання послуг публічної, колективної та приватної хмари, за моделими "інфраструктура як сервіс" (IaaS) та "платформа ик сервіс" (PaaS)";

- ЕКСПЕРТНИЙ ВИСНОВОК, відповідно до якого за результатами експертизи встановлено, що організаційно-технічне рішення для комплексної системи захисту інформації типової приватної хмарної інфраструктури, що належить ТОВ "ДЕ НОВО" відповідає вимогам нормативних документів з технічного захисту інформації в обсязі функцій, зазначених у документі "Технічне завдання на побудову організаційно-технічного рішення на розгортання комплексної системи захисту інформації типової приватної хмарної інфраструктури. UA.35877574.КСЗ1.00002.ТЗ".

Вимоги до сфери використання організаційно-технічного рішення та методів впровадження КСЗІ в ІТС на реальному об'єкті експлуатації наведені у відповідному розділі Експертного висновку.

Комісія листом від 04.06.2025 № 20-29.1/12-138ПЗе направила запит до Державної служби спеціального зв'язку та захисту інформації України з необхідністю надати інформацію з документальним підтвердженням (з посиланням на нормативно-правові акти), зокрема:

- чи обов'язково отримувати атестати відповідності КСЗІ ІКС хмарних обчислень на основний майданчик та резервний;

- чи може експертний висновок до організаційно-технічного рішення для КСЗІ підтвердити наявність резервного майданчика, який забезпечить захист інформації відповідно до вимог нормативних документів з технічного захисту інформації.

Адміністрація Державної служби спеціального зв’язку та захисту інформації України (адміністрація Держспецзв’язку) надала відповідь від 09.06.2025 № 04.04.025829/2025, у якій зазначено наступне":

"В Адміністрації Держспецзв’язку опрацьовано листа Комісії Антимонопольного комітету України з розгляду скарг про порушення законодавства у сфері публічних закупівель від 04.06.2025 № 20-29.1/12-138ПЗе (вх. № 10270/2025 від 05.06.2025) та повідомляємо таке.

Щодо питань 1, 3 Законом України від 27.03.2025 № 4336-IX "Про внесення змін до деяких законів України щодо захисту інформації та кіберзахисту державних інформаційних ресурсів, об’єктів критичної інформаційної інфраструктури" (далі – Закон № 4336-ІХ) внесено зміни до Закону України "Про захист інформації в інформаційно-комунікаційних системах" (далі – Закон) та визначено нові підходи до впровадження системи захисту інформаційнокомунікаційних систем (далі – ІКС).

Зокрема, частинами другою статті 8 Закону визначено, що державні інформаційні ресурси або інформація з обмеженим доступом, вимога щодо захисту якої встановлена законом, у системах, об’єктах критичної інформаційної інфраструктури, власниками або розпорядниками яких є органи державної влади, державні органи, державні підприємства, установи та організації, органи місцевого самоврядування, мають оброблятися в авторизованих системах з безпеки або шляхом отримання сертифіката відповідності стандарту інформаційної безпеки, виданого органом з оцінки відповідності.

Пунктом 11 статті 13 Закону встановлено, що комплексні системи захисту інформації (далі – КСЗІ), системи управління інформаційною безпекою з підтвердженою відповідністю, створені до набрання чинності Законом № 4336-ІХ, застосовуються відповідно до умов їх створення та не потребують повторного підтвердження відповідності (авторизації).

Згідно частини третьої статті 8 Закону України "Про хмарні послуги" надавачі хмарних послуг та/або послуг центру обробки даних для внесення відомостей про них до переліку подають до регулятора комунікаційних послуг, зокрема, документи, передбачені частиною другою або четвертою статті 8 Закону.

Крім того, відповідно до частини першої статті 14 Закону України "Про хмарні послуги" надавач хмарних послуг та/або послуг центру обробки даних забезпечує та створює належні умови для захисту даних у системі хмарних обчислень у порядку, визначеному законодавством України та договором між сторонами.

Документом, який засвідчує, що КСЗІ ІКС забезпечує захист інформації відповідно до вимог нормативних документів з технічного захисту інформації є зареєстрований атестат відповідності (додаток 7 Положення про державну експертизу в сфері технічного захисту інформації, затверджене наказом Адміністрації Держспецзв'язку від 16.05.2007 № 93, зареєстрованим в Міністерстві юстиції України 16.07.2007 за № 820/14087). Слід зазначити, що межі та вимоги до умов експлуатації КСЗІ ІКС визначаються у відповідному розділі експертного висновку, який є невід’ємною частиною атестата відповідності КСЗІ ІКС.

Враховуючи зазначене, система захисту, з усіма компонентами ІКС, що приймають участь в обробці інформації, яка згідно законодавства підлягає захисту, повинна бути оцінена згідно вимог чинного законодавства.

Щодо питання 2 Організаційно-технічне рішення для впровадження типової компоненти КСЗІ в ІКС - задокументоване уніфіковане рішення для багаторазового розгортання складових КСЗІ в ІКС, самодостатнє для вирішення певного завдання, що містить проєктні рішення програмно-технічного комплексу, організаційно-технічні рішення щодо регламенту функціонування типової компоненти ІКС та опис (алгоритм) процедури впровадження (розгортання) компоненти КСЗІ в ІКС.

Слід зазначити, що наявність експертного висновку на організаційнотехнічне рішення для КСЗІ не є виконанням вимог статті 8 Закону щодо обробки державних інформаційних ресурсів або інформація з обмеженим доступом, вимога щодо захисту якої встановлена законом в ІКС".

Відповідно до частини другої статті 8 Закону України "Про захист інформації в інформаційно-комунікаційних системах" державні інформаційні ресурси або інформація з обмеженим доступом, вимога щодо захисту якої встановлена законом, у системах, об’єктах критичної інформаційної інфраструктури, власниками або розпорядниками яких є органи державної влади, державні органи, державні підприємства, установи та організації, органи місцевого самоврядування, мають оброблятися в авторизованих системах з безпеки або шляхом отримання сертифіката відповідності стандарту інформаційної безпеки, виданого органом з оцінки відповідності.

Відповідно до Положення про державну експертизу у сфері технічного захисту інформації затвердженого Наказом Адміністрації Державної служби спеціального зв’язку та захисту інформації України 16 травня 2007 року № 93 (у редакції наказу Адміністрації Державної служби спеціального зв’язку та захисту інформації України від 28 серпня 2022 року № 477) (надалі – Положення) об’єктами експертизи є, зокрема:

комплексні системи захисту інформації (далі - КСЗІ), які є невід’ємною складовою інформаційної, електронної комунікаційної або інформаційно-комунікаційної системи (далі - ІКС);

організаційно-технічне рішення для впровадження типової компоненти КСЗІ в ІКС - задокументоване уніфіковане рішення для багаторазового розгортання складових КСЗІ в ІКС, самодостатнє для вирішення певного завдання, що містить проєктні рішення програмно-технічного комплексу, організаційно-технічні рішення щодо регламенту функціонування типової компоненти ІКС та опис (алгоритм) процедури впровадження (розгортання) компоненти КСЗІ в ІКС (далі - ОТР КСЗІ).

Відповідно до пункту 8 Положення для організації та проведення експертизи Адміністрація Держспецзв’язку, зокрема:

розглядає документи за результатами проведення експертизи, надані Організатором, та приймає рішення щодо реєстрації або відмови у реєстрації експертних висновків засобів ТЗІ/ОТР КСЗІ та атестатів відповідності КСЗІ за результатами їх розгляду.

Документацією передбачено, що послуги з надання у користування серверних потужностей хмарного середовища для обробки та зберігання даних включають в себе розміщення існуючих інформаційних систем Замовника у Хмарному Центрі Обробки Даних (Майданчик №1) та зберігання резервних копій (сервіс резервного копіювання) (Майданчик №2).

За таких умов, Документацією передбачено функціонування одночасно двох майданчиків (основного та резервного).

Враховуючи наведене, у тому числі, відповідь Адміністрації Держспецзв’язку від 09.06.2025 № 04.04.02-5829/2025, Скаржник не довів та документально не підтвердив необхідність внесення змін до Документації та неможливість виконати наведені вище умови Документації, а також не надав документального підтвердження, яким чином наведені вище умови Документації порушують його права та законні інтереси, пов'язані з участю у Процедурі закупівлі, у зв’язку з чим у Комісії відсутні підстави для задоволення Скарги в цій частині.

2. Скаржник зазначає, що згідно з підпункту 6 п.2 додатку 1 Документації та в інших розділах Документації, Замовник вимагає надати:

"Чинний атестат відповідності КСЗІ основного ЦОД Інформаційно-комунікаційна система (ІКС) основного Центру Обробки Даних (який буде задіяно для розміщення ІКС Замовника, повинна мати чинний атестат відповідності комплексної системи захисту інформації (КСЗІ) відповідно до вимог нормативних документів із технічного захисту інформації, який засвідчує, що КСЗІ інформаційнокомунікаційної системи даного ЦОД відповідає вимогам нормативних документів із технічного захисту інформації.

В якості підтвердження Учасник у складі своєї тендерної пропозиції повинен надати діючий атестат відповідності КСЗІ (допускається без додатка, який є його невід’ємною частиною) на інформаційно-комунікаційну систему Центр Обробки Даних (основний ЦОД який буде задіяно для розміщення ІКС Замовника), який засвідчує, що КСЗІ інформаційнокомунікаційної системи даного ЦОД відповідає вимогам нормативних документів з технічного захисту інформації.

Також учасник у складі своєї тендерної пропозиції повинен надати витяг з експертного висновку до даного атестату з інформацією про те, що до складу даної атестованої ІКС, входять наступні підсистеми:

- система контролю доступу;

- система відеоспостереження;

- система моніторингу інженерної інфраструктури (кондиціонери, ДБЖ, датчики температури);

- система моніторингу дизель-генераторів;

- система пожежної сигналізації та система автоматичного газового пожежогасіння;

- комплекс мережевого обладнання…".

Скаржник звертає увагу, що згідно з п.17 Положення про технічний захист інформації в Україні, затвердженого Указом Президента України від 27 вересня 1999 № 1229 (далі – Положення): "Під час розроблення і впровадження заходів з технічного захисту інформації використовуються засоби, дозволені Адміністрацією Держспецзв'язку України для застосування та включені до відповідних переліків".

Зазначений в Положенні перелік розміщено на сайті Держспецзв’язку (https://cip.gov.ua/ua/news/zasobi-tzi-yaki-mayut-ekspertnii-visnovok-pro-vidpovidnist-dovimog-tekhnichnogo-zakhistu-informaciyi), такий перелік містить номенклатуру засобів ТЗІ (технічних засобів, основним функціональним призначенням яких є захист інформації від загроз витоку, порушення цілісності та блокування; технічних засобів, в яких додатково до основного призначення передбачено функції захисту інформації; засобів, які призначені, спеціально розроблені або пристосовані для пошуку закладних пристроїв і які створюють загрозу для інформації; засобів, які спеціально розроблені або пристосовані для оцінювання захищеності інформації), відповідність яких вимогам нормативних документів з питань ТЗІ засвідчено сертифікатом відповідності або позитивним експертним висновком.

Тобто, згідно з Положенням, технічний захист інформації в основному ЦОД (Майданчик №1) повинен підтверджуватись наявністю засобів, дозволених Адміністрацією Держспецзв'язку України, які мають сертифікат відповідності або позитивний експертний висновок.

Скаржник має позитивні експертні висновки на засоби, дозволені Адміністрацією Держспецзв'язку України, які включені до відповідних переліків Держспецзв’язку:

• Експертний висновок, зареєстрований в Адміністрації Державної служби спеціального зв’язку та захисту інформації України 03.12.2020 за № 1193, на підтвердження, що Модуль центру обробки даних для захисту інформації від спеціальних впливів (екранований), тип L, серійні номери №№ 1-L-1, 1L-2, 2L-3, 2L-4, 2L-5, 3L-6, 3L-7, 3L-8, 4L-9, 4L-10, 4L-11, виробництва ТОВ "ДЕ НОВО" (м. Київ, …) відповідає вимогам нормативних документів з технічного захисту інформації.

• Експертний висновок, зареєстрований в Адміністрації Державної служби спеціального зв’язку та захисту інформації України 03.12.2020 за № 1192, на підтвердження, що Модуль центру обробки даних для захисту інформації від спеціальних впливів (екранований), тип S, серійні номери №№1S-1 – 1S-7; 2S-8 – 2S-11; 3S-12 – 3S-15;

4S-16 – 4S-20, виробництва ТОВ "ДЕ НОВО" (м. Київ…) відповідає вимогам нормативних документів з технічного захисту інформації.

• Лист Департаменту захисту інформації Адміністрації Держспецзв’язку 03.10.2023 за № 477 щодо продовження терміну дії експертних висновків на "Модуль центру обробки даних для захисту інформації від спеціальних впливів (екранований), тип S" (реєстр. № 1192 від 03.12.2020 (дійсний до 03.12.2023) та "Модуль центру обробки даних для захисту інформації від спеціальних впливів (екранований), тип L" (реєстр. № 1193 від 03.12.2020 (дійсний до 03.12.2023), що належать ТОВ "ДЕ НОВО", до кінця дії воєнного стану в Україні.

Таким чином, Скаржник може підтвердити відповідність вимогам нормативних документів із технічного захисту інформації на основному майданчику – позитивними Експертними висновками що Модулі Центру Обробки Даних (для захисту інформації від спеціальних впливів (екранований)) ТОВ "ДЕ НОВО", який Скаржник планує використовувати, як основний, відповідають вимогам нормативних документів з технічного захисту інформації.

Тим не менше, Скаржника, маючи необхідну матеріально-технічну базу, обладнання та технології для надання послуг, які є предметом Закупівлі та, відповідаючи усім вимогам нормативних документів з технічного захисту інформації, не взмозі прийняти участь в Закупівлі через обмеження Замовником способів підтвердження наявності захисту інформації в основному ЦОД Скаржника, що є дискримінаційним по відношенню до Скаржника.

Скаржник просить зобов’язати Замовника внести наступні зміни в Документацію Замовника:

До Документації Замовника (зокрема, до підпункту 6 п.2 "Інформація та документи, на підтвердження відповідності Учасника та пропозиції умовам тендерної документації" Додатку 1 до ТД) додати у вимогу до способу підтвердження відповідності вимогам нормативних документів із технічного захисту інформації основного майданчика (Майданчик №1) можливість надання Учасниками титульної сторінки позитивних Експертних висновків.

Замовник зазначає, що інженерні системи ЦОД, такі як система контролю доступу, відеоспостереження, пожежна сигналізація та інші, є невід'ємною частиною забезпечення належного функціонування ЦОД. У разі порушення безпеки цих систем може бути поставлена під загрозу і безпека інформації, що обробляється в ЦОД, незалежно від її статусу.

Захист внутрішніх систем є обов’язковою умовою відповідності вимогам КСЗІ.

Інженерні системи ЦОД є частиною загальної інфраструктури, що забезпечує безперервну, безпечну і надійну роботу обладнання, на якому обробляється інформація. Їх компрометація може призвести до втрати доступності, цілісності або конфіденційності інформації.

Нормативні документи, що регулюють порядок атестації КСЗІ (наприклад, нормативи Технічного захисту інформації (ТЗІ), затверджені Державною службою спеціального зв’язку та захисту інформації України), вимагають охоплення усіх компонентів ІКС, включаючи інженерні системи. Усі підсистеми, які прямо чи опосередковано впливають на безпеку такої інформації, повинні підлягати відповідній експертизі. Отже інформаційно-комунікаційна система ЦОД, в тому числі зобов’язана забезпечувати відповідність вимогам КСЗІ.

Розмежування інформаційних ресурсів і технічних систем є хибним, оскільки система контролю доступу, відеоспостереження, моніторинг температури та інші інженерні системи є складовими частинами захищеної інформаційно-комунікаційної системи. Вони передають дані, які, в разі компрометації, можуть призвести до порушення безпеки інформації, оброблюваної в ЦОД. Атестат відповідності КСЗІ є універсальним підтвердженням безпеки ЦОД відповідно до діючого Законодавства України. Дотримання вимоги щодо наявності атестата відповідності КСЗІ для ІКС ЦОД є обґрунтованим і недискримінаційним. Такий атестат гарантує, що всі компоненти, включаючи інженерні системи, відповідають вимогам нормативних документів з технічного захисту інформації.

Відсутність цього атестата створює ризики для безпеки інформації, навіть незалежно від її статусу (державна чи інша).

Також в ЦОД, в якому знаходиться ХЦОД Виконавця, оброблятимуться чутливі дані Замовника, а саме - персональні дані та конфіденційна інформація. Наявність чинного атестата саме на ЦОД в тому числі гарантує, що дані будуть захищені від витоків, несанкціонованого доступу чи інших загроз. Міграція до ЦОД з наявним атестатом КСЗІ полегшить Замовнику проходження атестацію власної ІКС яка буде функціонувати в приватній хмарі. Якщо ЦОД постачальника вже атестований на відповідність КСЗІ, це означає, що фізична, технічна, інженерна та організаційна інфраструктура відповідає вимогам нормативних документів із технічного захисту інформації. Замовнику не потрібно окремо підтверджувати відповідність ЦОД — він використовує вже атестовану платформу.

Замовник може спиратися на існуючу атестацію постачальника щодо:

- контролю фізичного доступу;

- системи відеоспостереження;

- системи пожежної безпеки;

- моніторингу інженерної інфраструктури;

- комплексу мережевого обладнання.

Це означає, що для атестації ІКС Замовника, в приватній хмарній інфраструктурі не потрібно заново оцінювати відповідність цих підсистем вимогам, так як вони вже атестовані.

Під час атестації власної КСЗІ експерти враховують відповідність інфраструктури хмари Замовника нормативним вимогам. Якщо ІКС ЦОД уже має атестат КСЗІ, то значна частина перевірок буде зосереджена лише на специфічних для Замовника програмноапаратних компонентах, що спрощує в рази прискорює відповідну процедуру.

Для підтвердження правомірності даної вимоги до тендерної документацій, окремо зазначимо, що надання атестату відповідності комплексної системи захисту інформації (КСЗІ) є обов’язковим згідно з наступними нормативно-правовими актами України:

- постанова Кабінету Міністрів України №154 від 11.02.2025 встановлює вимоги до надавачів хмарних послуг та/або послуг центру обробки даних, які обробляють державні інформаційні ресурси або інформацію з обмеженим доступом. Зокрема, у пункті 4 зазначено, що безпека системи та устаткування забезпечується шляхом впровадження системи управління інформаційною безпекою та/або комплексної системи захисту інформації з підтвердженою відповідністю за результатами державної експертизи у сфері технічного захисту інформації;

- згідно з Законом України "Про захист інформації в інформаційнотелекомунікаційних системах", інформація з обмеженим доступом, вимога щодо захисту якої встановлена законом, підлягає обов'язковому захисту в інформаційнотелекомунікаційних системах. Це включає впровадження комплексної системи захисту інформації, яка повинна бути атестована відповідно до вимог нормативних документів з технічного захисту інформації.

- Указ Президента України від 27 вересня 1999 року №1229/99 Про Положення про технічний захист інформації в Україні визначає, що технічний захист інформації здійснюється шляхом впровадження комплексних систем захисту інформації, які повинні відповідати встановленим вимогам та проходити державну експертизу Скаржник стверджує, що вимога КСЗІ є дискримінаційною, оскільки його ЦОД не має атестату, але має експертизи на окремі екрановані модулі, Це твердження є хибним з кількох причин:

- Атестат КСЗІ є офіційним документом, що засвідчує відповідність системи державним вимогам, а результати експертиз, навіть якщо вони зареєстровані в Держспецзв’язку, не є повноцінною заміною атестату, оскільки вони не враховують комплексності вимог.

- Вимога наявності КСЗІ є однаковою для всіх учасників торгів і не створює переваг або обмежень для окремих компаній. Вона базується виключно на необхідності гарантування інформаційної безпеки відповідно до діючого Законодавства України.

Скаржник посилається на п.17 Положення про технічний захист інформації в Україні, затвердженого Указом Президента України від 27.09.1999 № 1229, де зазначено, що під час розроблення і впровадження заходів з технічного захисту інформації використовуються засоби, дозволені Адміністрацією Держспецзв'язку України.

Однак, наявність позитивних експертних висновків на окремі екрановані модулі не є достатнім підтвердженням відповідності всієї ІКС вимогам технічного захисту інформації. Відповідно до Порядку проведення державної експертизи у сфері технічного захисту інформації, лише після проведення повної експертизи КСЗІ та отримання позитивного експертного висновку може бути виданий атестат відповідності КСЗІ.

Отже, посилання Скаржника на наявність позитивних експертних висновків на окремі ТЗІ не може розглядатися як еквівалент наявності чинного атестата відповідності КСЗІ для ІКС основного ЦОД.

У вимогах щодо ЦОД Замовник керувався Законом України Про хмарні послуги від 17.12.2022 № 2075-IX, де у статті 9 передбачено обов’язковість забезпечення фізичного, технічного та криптографічного захисту інформації для надавачів хмарних сервісів.

Постанова КМУ № 154 від 11.02.2025 також вимагає, щоб центри обробки даних мали системи моніторингу, захисту доступу та пожежогасіння. Відтак, вимога Замовника про підтвердження наявності відповідних підсистем через Атестат КСЗІ є не лише правомірною, а й обов’язковою згідно з нормативними актами у сфері кіберзахисту.

Установлення в Документації вимог щодо наявності чинного атестату відповідності КСЗІ, який охоплює перелік певних підсистем ЦОД, є цілком обґрунтованим у контексті предмета закупівлі. Відповідно до п. 17 Положення Указу Президента № 1229/99 від 27 вересня 1999 Про заходи щодо забезпечення технічного захисту інформації в Україні, усі технічні засоби для ТЗІ повинні бути дозволені до застосування та зареєстровані в Держспецзв’язку. Замовник, передаючи обробку інформації сторонньому суб’єкту, має право вимагати підтвердження повної відповідності ЦОД всім вимогам ТЗІ, включаючи підтримку підсистем контролю, сигналізації, відеоспостереження та інженерної інфраструктури. Натомість наявність експертних висновків лише на окремі екрановані модулі про які зазначає Скаржник не підтверджує відповідність всієї ІКС вимогам законодавства та не є тотожним атестації всієї ІКС у складі ЦОД.

Експертний висновок на окремі засоби ТЗІ не дорівнює експертний висновок на ІКС та не дорівнює атестат відповідності КСЗІ. Атестат є єдиним підтвердженням того, що вся ІКС, включно з інженерними та інформаційними компонентами, відповідає вимогам технічного захисту інформації.

Враховуючи вищезазначене, вимога Замовника щодо надання учасниками чинного атестата відповідності КСЗІ для ІКС основного ЦОД є обґрунтованою та відповідає чинному законодавству України. Посилання Скаржника на наявність позитивних експертних висновків на окремі ТЗІ не може вважатися достатнім підтвердженням відповідності ІКС вимогам технічного захисту інформації.

Скаржник у додаткових поясненнях зазначає, що стаття 8 ЗУ "Про захист інформації в ІКС" регламентує умови обробки інформації в системах, "в яких обробляються державні інформаційні ресурси або службова інформація та інформація, що становить державну таємницю, об’єктів критичної інформаційної інфраструктури".

В той же час, інженерні системи ЦОД є елементами фізичного та інфраструктурного захисту. Вони створюють умови для безперебійної роботи ІКС та її фізичної безпеки.

Наприклад, система пожежогасіння захищає обладнання від пожежі, а не інформацію від несанкціонованого доступу.

Тобто, ІКС, яка обробляє сигнали датчиків температури, вологості задимлення та сигнали інженерного обладнання ЦОД (кондиціонери, ДБЖ, пожежних систем тощо), не відноситься до систем, в яких обробляються державні інформаційні ресурси або службова інформація тощо, і, відповідно, ЗУ "Про захист інформації в ІКС" не регламентує умови обробки інформації в такій системі.

Згідно з п.5 Положення, - "Експертиза КСЗІ, засобів ТЗІ та ОТР КСЗІ є процедурою підтвердження відповідності КСЗІ, засобів ТЗІ та ОТР КСЗІ вимогам нормативних документів з ТЗІ)", тобто і КСЗІ (яке вимагає замовник), і ТЗІ (згідно з визначенням Положення: апаратні, апаратно-програмні і програмні засоби, які реалізують функції ТЗІ та/або оцінки стану захисту інформації), які наявні в Скаржника – є підтвердженням відповідності вимогам нормативних документів з ТЗІ.

Таким чином, вимога Замовника "щодо надання учасниками чинного атестата відповідності КСЗІ для ІКС основного ЦОД" не відповідає чинному законодавству України, а посилання Скаржника на наявність позитивних експертних висновків на окремі ТЗІ, може вважатися достатнім підтвердженням відповідності ІКС вимогам технічного захисту інформації".

Таким чином, Скаржник може підтвердити відповідність вимогам нормативних документів із технічного захисту інформації на основному майданчику – позитивними Експертними висновками що Модулі Центру Обробки Даних (для захисту інформації від спеціальних впливів (екранований)) ТОВ "ДЕ НОВО", який Суб’єкт оскарження планує використовувати, як основний, відповідають вимогам нормативних документів з технічного захисту інформації.

Окремо Скаржник зазначає, що Замовник не висуває аналогічної вимоги до резервного ЦОД, хоча на сторінці пояснень зазначає: "Резервна хмарна інфраструктура виконує важливу функцію зберігання резервних копій (бекапів) критичної інформації, що є невіддільною частиною процесу обробки даних та згідно з Законом України "Про захист інформації в інформаційно-комунікаційних системах", така інформація повинна оброблятися виключно в системі із застосуванням КСЗІ".

Замовник у додаткових поясненнях зазначає, що ІКС, згідно зі ст. 1 ЗУ "Про захист інформації в ІКС" від 05.07.1994 № 80/94-ВР (ред. від 27.03.2025 № 4336-IX) — це сукупність усіх інформаційних, інженерних і електронних компонентів, які діють як єдине ціле.

Указ Президента України від 27.09.1999 № 1229/99 та Постанова КМУ від 11.02.2025 № 154 зобов’язують забезпечити захист усіх компонентів, включаючи інженерні системи, у складі ІКС, через впровадження КСЗІ з підтвердженою відповідністю.

Всі ключові компоненти основного ЦОД — системи безперебійного живлення, відеоспостереження, охоронна сигналізація — впливають на безперервність та безпеку ІКС.

Їх компрометація загрожує доступності, цілісності й конфіденційності даних.

Саме тому КСЗІ потрібна саме для ІКС, що розгорнута в основному ЦОДі, адже саме в ньому передбачається активна обробка критичних даних Замовника.

Замовник усвідомлено диференціює вимоги до основного та резервного майданчиків, виходячи з їх функціонального призначення.

Основний ЦОД — це центральний вузол обробки інформації, де фактично здійснюється робота з критичними державними даними, що обробляються в режимі реального часу.

Резервний ЦОД — призначений для аварійного відновлення або зберігання резервних копій (бекапів), тобто не є постійно активною ІКС.

Згідно зі ст. 8 ЗУ "Про захист інформації в ІКС" від 05.07.1994 № 80/94-ВР (ред. від 27.03.2025 № 4336-IX), саме ті ІКС, які активно обробляють державні інформаційні ресурси, підлягають атестації КСЗІ.

Таким чином, вимога атестата КСЗІ встановлена лише до ІКС основного майданчика — виключно через його призначення та ризик впливу на критичні операції.

Для резервного ЦОД, з огляду на обмежену роль, Замовник не вимагає атестата, однак передбачає вимоги щодо технічної реалізації захисту інформації його хмарної інфраструктури. Це — збалансований, пропорційний та законний підхід.

Замовником усвідомлено встановлені різні вимоги до підтвердження наявності КСЗІ залежно від функціонального призначення та технічного навантаження майданчиків.

Крім того, міграція до ЦОД з наявним атестатом КСЗІ полегшить Замовнику проходження атестацію власної ІКС яка буде функціонувати в приватній хмарі. Якщо ЦОД постачальника вже атестований на відповідність КСЗІ, це означає, що фізична, технічна, інженерна та організаційна інфраструктура відповідає вимогам нормативних документів із технічного захисту інформації. Замовнику не потрібно окремо підтверджувати відповідність ЦОД — він використовує вже атестовану платформу.

Замовник може спиратися на існуючу атестацію постачальника щодо:

- контролю фізичного доступу;

- системи відеоспостереження;

- системи пожежної безпеки;

- моніторингу інженерної інфраструктури;

- комплексу мережевого обладнання.

Це означає, що для атестації ІКС Замовника, в приватній хмарній інфраструктурі не потрібно заново оцінювати відповідність цих підсистем вимогам, так як вони вже атестовані.

Під час атестації власної КСЗІ експерти враховують відповідність інфраструктури хмари Замовника нормативним вимогам. Якщо ІКС ЦОД уже має атестат КСЗІ, то значна частина перевірок буде зосереджена лише на специфічних для Замовника програмноапаратних компонентах, що спрощує в рази прискорює відповідну процедуру.

У ході розгляду зазначеного питання встановлено наступне.

Додаток 1 Документації містить розділ 2. Інформація та документи, на підтвердження відповідності Учасника та пропозиції умовам тендерної документації, зокрема:

6) Чинний атестат відповідності КСЗІ основного ЦОД Інформаційно-комунікаційна система (ІКС) основного Центру Обробки Даних (який буде задіяно для розміщення ІКС Замовника, повинна мати чинний атестат відповідності комплексної системи захисту інформації (КСЗІ) відповідно до вимог нормативних документів із технічного захисту інформації, який засвідчує, що КСЗІ інформаційнокомунікаційної системи даного ЦОД відповідає вимогам нормативних документів із технічного захисту інформації.

В якості підтвердження Учасник у складі своєї тендерної пропозиції повинен надати діючий атестат відповідності КСЗІ (допускається без додатка, який є його невід’ємною частиною) на інформаційно-комунікаційну систему Центр Обробки Даних (основний ЦОД який буде задіяно для розміщення ІКС Замовника), який засвідчує, що КСЗІ інформаційнокомунікаційної системи даного ЦОД відповідає вимогам нормативних документів з технічного захисту інформації.

Також учасник у складі своєї тендерної пропозиції повинен надати витяг з експертного висновку до даного атестату з інформацією про те, що до складу даної атестованої ІКС, входять наступні підсистеми:

- система контролю доступу;

- система відеоспостереження;

- система моніторингу інженерної інфраструктури (кондиціонери, ДБЖ, датчики температури);

- система моніторингу дизель-генераторів;

- система пожежної сигналізації та система автоматичного газового пожежогасіння;

- комплекс мережевого обладнання.

З метою захищення існуючих інформаційних систем Замовника, інформація щодо місцерозташування/ місцезнаходження основного ЦОД, якщо вона знаходиться на сторінці або сторінках експертного висновку разом з інформацією щодо підсистем ІКС має бути зачорнена, окрім регіону України (області) та/або населеного пункту (міста).

Додаток 3 Документації містить ТЕХНІЧНЕ ЗАВДАННЯ код ДК 021:2015 – 72310000-1 Послуги з обробки даних (послуга з надання у користування хмарного середовища для обробки даних).

2. Терміни та визначення, зокрема:

2.3. ЦОД (основний та резервний Центр Обробки Даних) – спеціалізований технічний комплекс, що складається з інженерної (системи безперебійного електроживлення, вентиляції, охолодження та регулювання вологості, пожежної безпеки, фізичної охорони), інформаційної, електронної комунікаційної та програмно-апаратної інфраструктури, засоби якого забезпечують або реалізують надання послуг із зберігання та обробки даних.

Таблиця №4 містить, зокрема:

Загальний опис до послуги Послуги з надання у користування серверних потужностей хмарного середовища для обробки та зберігання даних включають в себе розміщення існуючих інформаційних систем Замовника у Хмарному Центрі Обробки Даних (Майданчик №1) та зберігання резервних копій (сервіс резервного копіювання) (Майданчик №2). Інформаційно-комунікаційна система Учасника, на базі якої будуть надаватися послуги, повинна бути атестована на відповідність вимогам Комплексної Системи Захисту Інформації (КСЗІ) та розгорнута на двох технічних майданчиках Учасника. Закупівля даних послуг здійснюється для існуючих інформаційних систем Замовника, які розгорнуті та функціонують на базі програмного забезпечення гіпервізора VMWare. Таким чином Хмарний Центр Обробки Даних має бути побудованим на програмному забезпеченні гіпервізора VMware або на альтернативному програмному забезпеченні, що є повністю сумісним з VMware. Вимогу сумісності ПЗ Гіпервізора з VMWare слід розглядати як одну з вимог до базової архітектури інфраструктурної платформи, що продиктована поточними архітектурою та конфігурацією інформаційних систем Замовника.

Вимоги до ЦОД Виконавця 1. Виконавець повинен мати не менше двох географічно рознесених (повинно бути в різних містах та/або населених пунктах) ЦОД (Майданчик №1 та Майданчик №2), в яких знаходяться обчислювальні потужності Виконавця, що залучені для надання Замовнику Послуг – на території України (крім територій, на яких органи державної влади України тимчасово не здійснюють свої повноваження та крім територій де ведуться активні бойові дії).

2. Виконавець забезпечує та гарантує, що будівля, де розміщуються елементи ЦОД, контролюється охороною, обладнана системою охоронної сигналізації та засобами відеоспостереження. Все обладнання ЦОД розташовуються в окремому модулі технологічної зони з метою мінімізації доступу до приміщення осіб, які не мають відношення до обслуговування та експлуатації обладнання.

3. Виконавець забезпечує та гарантує, що приміщення де розміщуються елементи ЦОД обладнано системою вентиляції та пожежогасіння.

4. У випадку втрати працездатності ЦОД (Майданчик №1), Виконавцем має гарантуватись Замовнику наявність в ЦОД (Майданчик №2) необхідного об’єму ресурсів зазначених в Таблиці №2 (п.1-п.6).

5. У складі рішення Учасника повинні бути відсутні ЦОД, розташовані в Російській Федерації, навіть якщо в цих ЦОД не планується розміщувати елементи рішення.

6. Інформаційно-комунікаційна система (ІКС) основного Центру Обробки Даних (Майданчик №1 який буде задіяно для розміщення ІКС Замовника), повинна мати чинний атестат відповідності комплексної системи захисту інформації (КСЗІ) відповідно до вимог нормативних документів із технічного захисту інформації, який засвідчує, що КСЗІ інформаційно-комунікаційної системи даного ЦОД відповідає вимогам нормативних документів із технічного захисту інформації.

Скаржник на розгляд Комісії надав, зокрема:

- експертний висновок, відповідно до якого:

Результати експертизи свідчать, що "Модуль центру обробки даних для захисту інформації від спеціальних впливів (екранований), тип L", серійні номери №№ 1L-1, 1-2, 2L-3, 2L-4, 2L-5, 3L-6, 3L-7, 3L-8, 4L-9, 4L-10, 4L-11, що наданий на експертизу ТОВ "ДЕ НОВО", відповідає вимогам нормативних документів із технічного захисту інформації в обсязі функцій, зазначених у документі "Модуль центру обробки даних для захисту інформації від спеціального впливу (екранований), тип L. Технічні вимоги".

- експертний висновок, відповідно до якого:

Результати експертизи свідчать, що "Модуль центру обробки даних для захисту інформації від спеціальних впливів (екранований), тип Ѕ", серійні номери №№ 18-1-18-7;

2S-8-2S-11; 3S-12-3S-15; 4S-16-4S-20, що наданий на експертизу ТОВ "ДЕ НОВО", відповідає вимогам нормативних документів із технічного захисту інформації в обсязі функцій, зазначених у документі "Модуль центру обробки даних для захисту інформації від спеціального впливу (екранований), тип Ѕ. Технічні вимоги".

Комісія листом від 04.06.2025 № 20-29.1/12-138ПЗе направила запит до Державної служби спеціального зв'язку та захисту інформації України з необхідністю надати інформацію з документальним підтвердженням (з посиланням на нормативно-правові акти), зокрема:

- чи обов'язково отримувати атестат відповідності КСЗІ ІКС основного центру обробки даних (ЦОД);

- чи може експертний висновок на модулі центру обробки даних підтвердити відповідність КСЗІ інформаційно-комунікаційної системи ЦОД вимогам нормативних документів з технічного захисту інформації.

Адміністрація Державної служби спеціального зв’язку та захисту інформації України (адміністрація Держспецзв’язку) надала відповідь від 09.06.2025 № 04.04.025829/2025, у якій зазначено наступне:

"В Адміністрації Держспецзв’язку опрацьовано листа Комісії Антимонопольного комітету України з розгляду скарг про порушення законодавства у сфері публічних закупівель від 04.06.2025 № 20-29.1/12-138ПЗе (вх. № 10270/2025 від 05.06.2025) та повідомляємо таке.

Щодо питань 1, 3 Законом України від 27.03.2025 № 4336-IX "Про внесення змін до деяких законів України щодо захисту інформації та кіберзахисту державних інформаційних ресурсів, об’єктів критичної інформаційної інфраструктури" (далі – Закон № 4336-ІХ) внесено зміни до Закону України "Про захист інформації в інформаційно-комунікаційних системах" (далі – Закон) та визначено нові підходи до впровадження системи захисту інформаційнокомунікаційних систем (далі – ІКС).

Зокрема, частинами другою статті 8 Закону визначено, що державні інформаційні ресурси або інформація з обмеженим доступом, вимога щодо захисту якої встановлена законом, у системах, об’єктах критичної інформаційної інфраструктури, власниками або розпорядниками яких є органи державної влади, державні органи, державні підприємства, установи та організації, органи місцевого самоврядування, мають оброблятися в авторизованих системах з безпеки або шляхом отримання сертифіката відповідності стандарту інформаційної безпеки, виданого органом з оцінки відповідності.

Пунктом 11 статті 13 Закону встановлено, що комплексні системи захисту інформації (далі – КСЗІ), системи управління інформаційною безпекою з підтвердженою відповідністю, створені до набрання чинності Законом № 4336-ІХ, застосовуються відповідно до умов їх створення та не потребують повторного підтвердження відповідності (авторизації).

Згідно частини третьої статті 8 Закону України "Про хмарні послуги" надавачі хмарних послуг та/або послуг центру обробки даних для внесення відомостей про них до переліку подають до регулятора комунікаційних послуг, зокрема, документи, передбачені частиною другою або четвертою статті 8 Закону.

Крім того, відповідно до частини першої статті 14 Закону України "Про хмарні послуги" надавач хмарних послуг та/або послуг центру обробки даних забезпечує та створює належні умови для захисту даних у системі хмарних обчислень у порядку, визначеному законодавством України та договором між сторонами.

Документом, який засвідчує, що КСЗІ ІКС забезпечує захист інформації відповідно до вимог нормативних документів з технічного захисту інформації є зареєстрований атестат відповідності (додаток 7 Положення про державну експертизу в сфері технічного захисту інформації, затверджене наказом Адміністрації Держспецзв'язку від 16.05.2007 № 93, зареєстрованим в Міністерстві юстиції України 16.07.2007 за № 820/14087). Слід зазначити, що межі та вимоги до умов експлуатації КСЗІ ІКС визначаються у відповідному розділі експертного висновку, який є невід’ємною частиною атестата відповідності КСЗІ ІКС.

Враховуючи зазначене, система захисту, з усіма компонентами ІКС, що приймають участь в обробці інформації, яка згідно законодавства підлягає захисту, повинна бути оцінена згідно вимог чинного законодавства.

… Щодо питання 4 Наявність експертного висновку на апаратні, апаратно-програмні і програмні засоби, які реалізують функції технічного захисту інформації та/або оцінки стану захисту інформації (модуль центру обробки даних) не є виконанням вимог статті 8 Закону щодо обробки державних інформаційних ресурсів або інформація з обмеженим доступом, вимога щодо захисту якої встановлена законом в ІКС".

Відповідно до частини другої статті 8 Закону України "Про захист інформації в інформаційно-комунікаційних системах" державні інформаційні ресурси або інформація з обмеженим доступом, вимога щодо захисту якої встановлена законом, у системах, об’єктах критичної інформаційної інфраструктури, власниками або розпорядниками яких є органи державної влади, державні органи, державні підприємства, установи та організації, органи місцевого самоврядування, мають оброблятися в авторизованих системах з безпеки або шляхом отримання сертифіката відповідності стандарту інформаційної безпеки, виданого органом з оцінки відповідності.

Відповідно до Положення про державну експертизу у сфері технічного захисту інформації затвердженого Наказом Адміністрації Державної служби спеціального зв’язку та захисту інформації України 16 травня 2007 року № 93 (у редакції наказу Адміністрації Державної служби спеціального зв’язку та захисту інформації України від 28 серпня 2022 року № 477) (надалі – Положення) об’єктами експертизи є, зокрема:

комплексні системи захисту інформації (далі - КСЗІ), які є невід’ємною складовою інформаційної, електронної комунікаційної або інформаційно-комунікаційної системи (далі - ІКС).

Відповідно до пункту 8 Положення для організації та проведення експертизи Адміністрація Держспецзв’язку, зокрема:

розглядає документи за результатами проведення експертизи, надані Організатором, та приймає рішення щодо реєстрації або відмови у реєстрації експертних висновків засобів ТЗІ/ОТР КСЗІ та атестатів відповідності КСЗІ за результатами їх розгляду.

Документацією передбачені вимоги до центру обробки даних виконавця, зокрема, у випадку втрати працездатності ЦОД (Майданчик №1), Виконавцем має гарантуватись Замовнику наявність в ЦОД (Майданчик №2) необхідного об’єму ресурсів зазначених в Таблиці №2 (п.1-п.6).

За таких умов, Документацією не передбачено, що майданчики центру обробки даних (основний та резервний) повинні працювати одночасно.

Враховуючи наведене, у тому числі, відповідь Адміністрації Держспецзв’язку від 09.06.2025 № 04.04.02-5829/2025, Скаржник не довів та документально не підтвердив необхідність внесення змін до Документації та неможливість виконати наведені вище умови Документації, а також не надав документального підтвердження, яким чином наведені вище умови Документації порушують його права та законні інтереси, пов'язані з участю у Процедурі закупівлі, у зв’язку з чим у Комісії відсутні підстави для задоволення Скарги в цій частині.

Враховуючи інформацію, викладену в мотивувальній частині цього рішення, у Комісії відсутні підстави для задоволення Скарги.

Орган оскарження розглядає скаргу та приймає рішення на її підставі в межах одержаної за скаргою інформації та інформації, розміщеної в електронній системі закупівель, виходячи з положень частини шістнадцятої статті 18 Закону.

Наведені вище обставини свідчать про відсутність підстав для задоволення Скарги.

Враховуючи викладене, керуючись статтею 18 Закону України "Про публічні закупівлі" та Постановою Кабінету Міністрів України від 12.10.2022 № 1178 "Про затвердження особливостей здійснення публічних закупівель товарів, робіт і послуг для замовників, передбачених Законом України "Про публічні закупівлі", на період дії правового режиму воєнного стану в Україні та протягом 90 днів з дня його припинення або скасування", Комісія Антимонопольного комітету України з розгляду скарг про порушення законодавства у сфері публічних закупівель

ПОСТАНОВИЛА:

Відмовити товариству з обмеженою відповідальністю "ДЕ НОВО" (код ЄДРПОУ:

35877574) у задоволенні скарги від 25 травня 2025 № UA-2025-05-21-008465-a.b1.

Рішення може бути оскаржене до суду у встановлений Законом строк.

Голова Комісії Євгеній БЄГАЛОВ Члени Комісії Інна РОМАНЕНКО Сергій БУРЗАК

Скарга

Скарга