ДК 021:2015 код 48730000-4 Пакети програмного забезпечення для забезпечення безпеки (Програмна продукція двостороннього захисту Інтернет-трафіку ПрАТ «Укргідроенерго»)

Текст рішення

РІШЕННЯ

№14395-р/пк-пз від 19.09.2025 Комісія Антимонопольного комітету України з розгляду скарг про порушення законодавства у сфері публічних закупівель (надалі – Комісія), розглянувши скаргу товариства з обмеженою відповідальністю "САЙБЕРПРО" (код ЄДРПОУ: 43894987) від 10 вересня 2025 № UA-2025-08-20-006630-a.b1 (надалі – Скарга) щодо порушення Замовником порядку проведення Процедури закупівлі,

ВСТАНОВИЛА:

Надалі за текстом вказаного рішення терміни та визначення:

- Закон України "Про публічні закупівлі" – Закон;

- Особливості здійснення публічних закупівель товарів, робіт і послуг для замовників, передбачених Законом України "Про публічні закупівлі", на період дії правового режиму воєнного стану в Україні та протягом 90 днів з дня його припинення або скасування, затверджені Постановою Кабінету Міністрів України від 12.10.2022 № 1178 "Про затвердження особливостей здійснення публічних закупівель товарів, робіт і послуг для замовників, передбачених Законом України "Про публічні закупівлі", на період дії правового режиму воєнного стану в Україні та протягом 90 днів з дня його припинення або скасування" – Особливості;

- тендерна документація – Документація;

- тендерна пропозиція – Пропозиція.

Скаржник повідомляє про порушення Замовником порядку проведення Процедури закупівлі та просить, зокрема, зобов'язати Замовника скасувати рішення про відхилення Пропозиції Скаржника.

Рішенням Комісії від 12.09.2025 № 14044-р/пк-пз Скарга була прийнята до розгляду та зобов’язано Замовника надати пояснення по суті Скарги.

Замовник шляхом завантаження на веб-портал Уповноваженого органу надав пояснення по суті Скарги.

У ході розгляду Скарги, інформації, одержаної за Скаргою та інформації, розміщеної в електронній системі закупівель, встановлено наступне.

Відповідно до інформації, розміщеної на веб-порталі Уповноваженого органу з питань закупівель, свої Пропозиції для участі у Процедурі закупівлі подали наступні учасники:

1) 2) Скаржник товариство з обмеженою відповідальністю "СІЕС КОНСАЛТИНГ" (надалі –

ТОВ "СІЕС КОНСАЛТИНГ")

Відповідно до інформації, розміщеної на веб-порталі Уповноваженого органу, розкриття Пропозицій відбулось 29.08.2025.

Відповідно до інформації, розміщеної на веб-порталі Уповноваженого органу, Пропозицію Скаржника відхилено Замовником; статус Пропозиції ТОВ "СІЕС КОНСАЛТИНГ" – "Очікує рішення".

Інформація про відхилення Пропозиції Скаржника оприлюднена на веб-порталі Уповноваженого органу 05.09.2025.

Скаржник не погоджується з рішенням Замовника щодо відхилення його Пропозиції.

У зв'язку з наведеним були розглянуті підстави для відхилення Пропозиції Скаржника та встановлено наступне.

Відповідно до протоколу від 05.09.2025 № 220/2025/1 підставою відхилення Пропозиції Скаржника було наступне:

"1. Учасник процедури закупівлі у складі тендерної пропозиції надав технічну специфікацію від 27.08.2025 № 2/UA-2025-08-20-006630-a, в якій не заповнено пункт 3.1 колонки "Пропозиція учасника" в таблиці розділу 2, як того вимагає додаток № 5 тендерної документації 2. Учасником завантажено у складі тендерної пропозиції ЛИСТ ПРО

ВІДПОВІДНІСТЬ

(Letter__HYAS_-_tech.docx.pdf) та Лист відповідності (CloudFlare_Letter_for_UHE_.pdf) які не підтверджують технічні характеристики програмної продукції, що пропонується учасником до постачання, які наведені у підпунктах №№ 1.7, 1.12, 1.13, 2.2, 2.3, 2.4, 2.5, 2.8, 2.9, 2.10, 3.2, 3.3, 3.4, 3.5, 3.6, 3.7 таблиці розділу 2 технічної специфікації від 27.08.2025 № 2/UA-2025-08-20-006630-a, як того вимагає пункт 2.2 таблиці № 4 додатка № 1 тендерної документації".

Скаржник зазначає, що у складі Пропозиції міститься:

- ТЕХНІЧНА СПЕЦИФІКАЦІЯ ІНФОРМАЦІЯ ПРО НЕОБХІДНІ ТЕХНІЧНІ,

ЯКІСНІ ТА КІЛЬКІСНІ ХАРАКТЕРИСТИКИ ПРЕДМЕТА ЗАКУПІВЛІ, вих.№ 2/UA2025-08-20-006630-a від 27 серпня 2025 року, яка оформлена відповідно до Додатка № 5 тендерної документації, яка містить в собі інформацію про технічні, якісні та кількісні характеристики предмета закупівлі.

У вищезгаданій Технічній специфікації Скаржник зазначає наступне: "Ми, ТОВ "САЙБЕРПРО", зобов’язуємося здійснити постачання програмної продукції, згідно технічних, якісних та кількісних характеристик предмета закупівлі, що наведені у Додатку № 5 тендерної документації", зокрема:

1) Доступ до програмного забезпечення - ліцензії на програмну продукцію (екземпляр комп`ютерної програми) HYAS Protect - 1500 користувачів;

2) Програмна продукція Cloudflare Enterprise Service and additional domains.

Clоudflare incl (CDN – Total Data Transfer - 1 TB, Advanced Certificates Manager - Domains – 2 Zones, Application Security Core – Included MM Requests, Application Security Core - MM Requests – 10 MM Requests, Foundation DNS - Queries - 10 MM, Email Security Enterprise per Knowledge Worker - 1500 Knowledge Worker, Foundation DNS - Records - 100 10K, CDN Data Transfer (Europe) - 1 TB, CDN - Requests - 10 MM Requests, Access - User - 100 Seats, Advanced DDoS - Included TB, Bot Management – Bot Management Requests - 10 MM Requests, Enterprise - Primary - Domains - 2 Zones, Enterprise - Secondary - Domains - 2 Zones, Standard Success Offering - Included , Premium Success - Included , Data Localization Suite (DLS) - Included);

3) Програмна продукція Cloudflare Enterprise Service and additional domains.

Clоudflare incl (Magic Transit: Always On GRE – Total Bandwidth – 100 Mbps, Magic Transit:

Always On GRE – Bandwidth (Europe) - 100 Mbps, Magic Transit: Always On GRE – Routers – 8 Routers, Magic Transit: Always On GRE - IP Prefix – 1 IP Prefix, Standard Success Offering - Included, Premium Success - Included).

У Додатку №5 до тендерної документації Замовником закуповуються вищевказані програмні продукти у кількості по 1 (одній) штуці кожної, що вказано і в Додатку №5 до тендерної документації Замовника і в Технічній специфікації Скаржника та додатково в інших документах Скаржника, а саме:

- Довідка, вих.№ 5/UA-2025-08-20-006630-a від 27 серпня 2025 року (файл "5 ДОВІДКА .pdf), яка містить інформацію про кількість кожного із запропонованих продуктів.

- Лист про відповідність від HYAS Infosec Inc (файл "Letter__HYAS_-_tech.docx"), у якому зазначена кількість продукту "Доступ до програмного забезпечення - ліцензії на програмну продукцію (екземпляр комп`ютерної програми) HYAS Protect - 1500 користувачів / Access to software - licenses for software products (a copy of the computer program) HYAS Protect - 1500 users".

- Лист відповідності від Cloudflare Inc. (файл "CloudFlare_Letter_for_UHE_"), у якому зазначена кількість продуктів "Програмна продукція Cloudflare Enterprise Service and additional domains. Clоudflare incl (CDN – Total Data Transfer - 1 TB, Advanced Certificates Manager - Domains – 2 Zones, Application Security Core – Included MM Requests, Application Security Core - MM Requests – 10 MM Requests, Foundation DNS - Queries - 10 MM, Email Security Enterprise per Knowledge Worker - 1500 Knowledge Worker, Foundation DNS - Records - 100 10K, CDN - Data Transfer (Europe) - 1 TB, CDN - Requests - 10 MM Requests, Access - User - 100 Seats, Advanced DDoS - Included TB, Bot Management – Bot Management Requests - 10 MM Requests, Enterprise - Primary - Domains - 2 Zones, Enterprise - Secondary - Domains - 2 Zones, Standard Success Offering - Included , Premium Success Included , Data Localization Suite (DLS) - Included)" та "Програмна продукція Cloudflare Enterprise Service and additional domains. Clоudflare incl (Magic Transit: Always On GRE – Total Bandwidth – 100 Mbps, Magic Transit: Always On GRE – Bandwidth (Europe) - 100 Mbps, Magic Transit: Always On GRE – Routers – 8 Routers, Magic Transit: Always On GRE IP Prefix – 1 IP Prefix, Standard Success Offering - Included, Premium Success - Included)".

Зважаючи на все вищевикладене, незаповнення Скаржником пункту 3.1 колонки "Пропозиція учасника" в таблиці розділу 2, як того вимагає додаток № 5 тендерної документації жодним чином не впливає на зміст тендерної пропозиції Скаржника, не спотворює кількість запропонованої Скаржником продукції та не може бути підставою для відхилення тендерної пропозиції Скаржника, тим більше за умови відсутності конкретної інструкції щодо заповнення додаток № 5 тендерної документації, зокрема пункту 3.1 колонки "Пропозиція учасника" в таблиці розділу 2 та наявності інформації про кількість запропонованої продукції в низці інших документів тендерної пропозиції Скаржника.

Щодо непідтвердження Скаржником технічних характеристик програмної продукції, що пропонується учасником до постачання, які наведені у підпунктах №№ 1.7, 1.12, 1.13, 2.2, 2.3, 2.4, 2.5, 2.8, 2.9, 2.10, 3.2, 3.3, 3.4, 3.5, 3.6, 3.7 таблиці розділу 2 технічної специфікації додатку №5 до тендерної документації Скаржник зазначає, що у складі тендерної пропозиції міститься:

- ТЕХНІЧНА СПЕЦИФІКАЦІЯ ІНФОРМАЦІЯ ПРО НЕОБХІДНІ ТЕХНІЧНІ,

ЯКІСНІ ТА КІЛЬКІСНІ ХАРАКТЕРИСТИКИ ПРЕДМЕТА ЗАКУПІВЛІ, вих.№ 2/UA2025-08-20-006630-a від 27 серпня 2025 року, відповідно до якої, Скаржником пропонується до постачання продукція двох виробників, а саме: HYAS Infosec Inc.

("HYAS Infosec") (1 позиція специфікації) та Cloudflare, Inc. ("Cloudflare") (друга та третя позиції специфікації).

Скаржник згідно з Технічною специфікацією запропонував Доступ до програмного забезпечення - ліцензії на програмну продукцію (екземпляр комп`ютерної програми) HYAS Protect - 1500 користувачів, виробника - HYAS Infosec Inc. ("HYAS Infosec").

На підтвердження відповідності всім технічним характеристикам програмної продукції, які наведені у підпункті №1 таблиці розділу 2 Додатка № 5 тендерної документації, та яка пропонується Скаржником до постачання – надано Лист про відповідність від HYAS Infosec Inc. (файл "Letter__HYAS_-_tech.docx").

Даний лист від виробника HYAS Infosec Inc. містить підтвердження дотримання вимог до функціональності захисту (пункт 1.7.) у повній відповідності з вимогами, встановленими Замовником у пункті 1.7. таблиці розділу 2 Додатку №5 до тендерної документації – див. сторінку 5 файлу "Letter__HYAS_-_tech.docx".

Також лист від виробника HYAS Infosec Inc. містить підтвердження рівня доступності та вимог до підтримки (пункти 1.12. та 1.13) у повній відповідності з вимогами, встановленими Замовником у пунктах 1.12. та 1.13 таблиці розділу 2 Додатку №5 до тендерної документації – див. сторінку 11 файлу "Letter__HYAS_-_tech.docx".

Щодо підтвердження пунктів 2.2, 2.3, 2.4, 2.5, 2.8, 2.9, 2.10, 3.2, 3.3, 3.4, 3.5, 3.6, 3.7 таблиці розділу 2 технічної специфікації додатку №5 до тендерної документації для підтвердження відповідності всім вищевказаним технічним характеристикам програмної продукції, які наведені у підпункті №2 та 3 таблиці розділу 2 Додатка № 5 тендерної документації, та яка пропонується Скаржником до постачання – надано Лист про відповідність від Cloudflare, Inc. ("Cloudflare") (файл "CloudFlare_Letter_for_UHE_").

Даний лист від виробника Cloudflare, Inc.. містить підтвердження дотримання вимог до архітектури рішень (пункт 2.2.), вимог до функціональності захисту (пункту 2.3.), захисту від DDoS атак та вимог до такого захисту (пункт 2.4.), вимог до функціональності Access (пункту 2.5), захисту вебдодатків та вимог такого захисту (пункт 2.8), вимог до шифрування (пункту 2.9), вимог до DNS (пункт 2.10), загальних умов (пункту 3.2.), захисту від DDoS атак у хмарі (пункту 3.3.), управління та автоматизації (пункт 3.4.), аналітики та журналів (пункт 3.5.), варіантів підключення (пункт 3.6), продуктивності та надійності (пункт 3.7) у повній відповідності з вимогами, встановленими Замовником у відповідних пунктах таблиці розділу 2 Додатку №5 до тендерної документації – див. файл "CloudFlare_Letter_for_UHE_".

З урахуванням наявності у складі тендерної пропозиції Скаржника листів від виробників продукції, яка пропонується учасником до постачання - Cloudflare, Inc. та HYAS Infosec Inc., які що підтверджує(ють) технічні характеристики програмної продукції, які наведені у підпунктах №№ 1, 2, 3 таблиці розділу 2 Додатка № 5 тендерної документації, тендерна пропозиція Скаржника була неправомірно відхилена Замовником.

Замовник зазначає, що відповідно до вимог п. 2.1. таблиці № 4 продовження додатка № 1 тендерної документації учасник процедури закупівлі повинен надати технічну специфікацію оформлену відповідно до Додатка № 5 тендерної документації, яка містить в собі інформацію про технічні, якісні та кількісні характеристики предмета закупівлі. Додатком № 5 тендерної документації передбачено, що технічна специфікація заповнюється та подається Учасником процедури закупівлі у складі тендерної пропозиції.

Таблиця розділу № 2 додатку № 5 тендерної документації містить колонку "Пропозиція учасника"* в якій учасник має заповнити конкретне значення параметру програмної продукції, що пропонується учасником до постачання. Також примітки додатку № 5 містять вимогу: "* Не заповнені поля по тексту технічної специфікації заповнюються Учасником закупівлі", що свідчить про необхідність їх заповнення.

Скаржник у складі тендерної пропозиції надав технічну специфікацію від 27.08.2025 № 2/UA-2025-08-20-006630-a, в якій не заповнено пункт 3.1 колонки "Пропозиція учасника" в таблиці розділу 2, чим грубо недотримався вищезазначених вимог тендерної документації. Також передбачені п 2.1. таблиці № 4 продовження додатка № 1 тендерної документації документ надаються учасником для підтвердження технічних характеристик програмної продукції, які наведені у підпунктах №№ 1, 2, 3 таблиці розділу 2 Додатка № 5 тендерної документації, та яка пропонується учасником до постачання, що ніяким чином не позбавляє учасника необхідності заповнити технічну специфікації відповідно до Додатка № 5 тендерної документації.

Відповідно до вимог п. 2.2. таблиці № 4 продовження додатка № 1 тендерної документації учасник процедури закупівлі повинен надати технічну документацію або інструкцію виробника (інструкція з експлуатації) або довідку (лист) від виробника програмної продукції, що підтверджує(ють) технічні характеристики програмної продукції, які наведені у підпунктах №№ 1, 2, 3 таблиці розділу 2 Додатка № 5 тендерної документації, та яка пропонується учасником до постачання.

У підпунктах №№ 1.7, 1.12, 1.13, 2.2, 2.3, 2.4, 2.5, 2.8, 2.9, 2.10, 3.2, 3.3, 3.4, 3.5, 3.6, 3.7 таблиці розділу 2 наданої технічної специфікації від 27.08.2025 № 2/UA-2025-08-20006630-a учасником зазначені конкретні значення параметрів, я того вимагає тендерна документація. Відповідно підтвердження потребують саме ці технічні характеристики програмної продукції.

У наданих учасником документах лист про відповідність (Letter__HYAS__tech.docx.pdf) та Лист відповідності (CloudFlare_Letter_for_UHE_.pdf) виробники програмної продукції (на їх думку) підтверджують відповідність технічних характеристик програмної продукції, яка пропонується до постачання в межах закупівлі UA-2025-08-20006630-a, вимогам тендерної документації, у тому числі кількісним, якісним і технічним характеристикам предмету закупівлі які наведені у таблиці розділу 2 Додатка № 5 тендерної документації, але вимогами п. 2.2 таблиці № 4 продовження додатка № 1 тендерної документації вимагалося підтвердити не відповідність пропозиції учасника вимогам тендерної документації, а підтвердити технічні характеристики програмної продукції, яка пропонується учасником до постачання, тобто яку зазначено учасником в колонці "Пропозиція учасника" таблиці розділу 2 технічної специфікації оформленої згідно Додатка № 5 тендерної документації. Вказані вище документи не містять інформації, що підтверджує технічні характеристики програмної продукції, яка пропонується учасником до постачання зазначені Скаржником у підпунктах №№ 1.7, 1.12, 1.13, 2.2, 2.3, 2.4, 2.5, 2.8, 2.9, 2.10, 3.2, 3.3, 3.4, 3.5, 3.6, 3.7 таблиці розділу 2 наданої технічної специфікації від 27.08.2025 № 2/UA-2025-08-20-006630-a.

У ході розгляду зазначеного питання встановлено наступне.

Відповідно до пункту 1 розділу ІІІ Документації Пропозиція подається в електронній формі через електронну систему закупівель шляхом заповнення електронних форм з окремими полями, у яких зазначається інформація про ціну, інші критерії оцінки (у разі їх встановлення замовником), інформація від учасника процедури закупівлі про його відповідність кваліфікаційним (кваліфікаційному) критеріям (у разі їх (його) встановлення, наявність/відсутність підстав, установлених у пункті 47 особливостей і в тендерній документації, та шляхом завантаження необхідних документів, що вимагаються замовником у тендерній документації.

В графі "Ціна" зазначається вартість предмету закупівлі (ціна пропозиції без урахування ПДВ).

Якщо учасник процедури закупівлі є платником ПДВ, у такому випадку, він може подати додатковий документ із зазначенням ціни його тендерної пропозиції з урахуванням ПДВ.

Пропозиція, яка подається учасником процедури закупівлі складається з наступного переліку документів та інформації:

4) Технічної специфікації, що оформлена відповідно до Додатка № 5 тендерної документації.

Відповідно до пункту 6 розділу ІІІ Документації учасники процедури закупівлі повинні надати у складі тендерних пропозицій інформацію, яка підтверджує відповідність тендерної пропозиції учасника технічним, якісним, кількісним та іншим вимогам до предмета закупівлі, установленим замовником;

Технічні, якісні та кількісні характеристики предмета закупівлі наведено у Додатку № 5 тендерної документації.

Додаток 1 Документації містить перелік документів та інформації, які подаються учасником процедури закупівлі.

2. Документ (-и) та інформація, які підтверджує(ють) технічні, якісні та кількісні характеристики предмета закупівлі.

2.1. Технічна специфікація оформлена відповідно до Додатка № 5 тендерної документації, яка містить в собі інформацію про технічні, якісні та кількісні характеристики предмета закупівлі.

2.2. Технічна документація або інструкція виробника (інструкція з експлуатації) або довідка (лист) від виробника програмної продукції, що підтверджує(ють) технічні характеристики програмної продукції, які наведені у підпунктах №№ 1, 2, 3 таблиці розділу 2 Додатка № 5 тендерної документації, та яка пропонується учасником до постачання.

Додаток 5 Документації містить технічну специфікацію.

Додатком 5 Документації передбачено, зокрема, колонку "Пропозиція учасника* (заповнюються конкретне значення параметру програмної продукції, що пропонується учасником до постачання)*".

Додатком 5 Документації встановлено, зокрема, наступні вимоги:

1. Підсистема очистки DNS трафіку, що надходить з мережі Інтернет HYAS Protect (або еквівалент):

1.7. Вимоги до функціональності захисту:

ПП має у складі необхідний функціонал для блокування шкідливого трафіку DNS за замовчуванням від виробника. Показники підтверджені дослідженнями AV-TEST, або іншою незалежною організацією яка оцінює антивірусне програмне забезпечення та програмне забезпечення безпеки ПП забезпечує безпеку та блокування командно-контрольного зв’язку (C2), який використовує шкідливе програмне забезпеченням, програмами-вимагачами, фішингом і атаками на supply chain, при цьому надає інтелектуальні дані на вимогу для покращення існуючого стека безпеки та ІТ-керування. Усуває загрози у режимі реального часу.

1.12. Рівень доступності:

Платформа ПП доступна щонайменше у 99,9 % часу ПП відновлюється після технічних проблем.

1.13. Вимога до підтримки Підтримка забезпечує:

– захист 24/7;

– спеціалізовану підтримку з доступом до порталу виробника;

– першу лінію підтримки доступну в Україні від розробника або його офіційного представника;

– ввідний інструктаж, адаптація та підтримка користувачів;

– навчання та тренінги без обмежень і додаткової плати;

– щоквартальний звіт про успіх користувача;

– щоквартальні зустрічі з технічною командою виробника для будь-яких питань / обговорень щодо роботи та функціоналу продукту;

– виробник ділиться знаннями, заснованими на досвіді інших клієнтів (успішними USE-cases).

2. Підсистеми захисту веб-ресурсів, захисту віддаленого доступу, захисту від фішингових атак, захисту від ботів Cloudflare (або еквівалент).

2.2. Вимоги до архітектури рішення - Рішення має хмарну архітектуру;

- робота рішення в режимі Reverse Proxy;

- центри обробки даних доступні не менше ніж у 330 містах світу;

- уніфікований функціонал присутній у кожному ЦОД;

- пропускна здатність глобальної мережі, яка складається з транзитних з’єднань, однорангових з’єднань і приватних мережевих з’єднань, становити щонайменше 380 Тбіт/с;

- відповідає сертифікації стандарту ISO 27001;

- відповідає стандарту SOC 2 Type II, SOC 3;

- наявна можливість обмежувати зберігання й оброблення даних конкретними регіонами, або виключення певних регіонів зі списку зі зберігання й оброблення даних.

2.3. Вимоги до функціональності захисту ПП має:

- механізми захисту: Blocking, Captcha Challenge, JS Challenge;

- можливість визначення реакції на кожну подію безпеки;

- можливість визначення щонайменше 1000 правил доступу на основі User-Agent;

- можливість визначення не менше ніж 125 правил доступу для окремих областей вебсайту;

- можливість визначення параметрів HTTP-запиту для окремих сторінок (окремі URI);

- можливість контролювати ресурси, кешовані клієнтськими браузерами, не менше ніж на термін, який вони залишаються дійсними;

- можливість контролювати обхід кешу та отримувати ресурси з вихідного сервера;

- можливість розділяти кешований вміст на основі типу пристрою відвідувача;

- можливість конкретно контролювати, які змінні включати, вирішуючи, які ресурси кешувати;

- можливість за допомогою JA3 та JA4 fingerprints профілювати певних клієнтів SSL/TLS для різних IP-адрес призначення, портів та сертифікатів X509.

- можливість увімкнути або вимкнути систему, не очікуючи цілого файлу з вихідного сервера, перш ніж пересилати його відвідувачу вебсайту;

- можливість включити режим захисту для всього ресурсу;

- загальний легальний трафік: не менше ніж 1 ТБ на місяць;

- має не менше ніж 10 мільйонів законних запитів на місяць.

2.4. Захист від DDoS атак та вимоги такого захисту - наявність захисту DDoS на рівні мережі не нижче ніж L3/L4 від векторів атак:

UDP flood атаки, SYN flood, SYN-ACK flood атаки, ACK flood, Mirai та Mirai-variant L3/4 атаки, ICMP flood атаки, SNMP flood атаки, QUIC flood атаки, атаки поза станом TCP, атаки на порушення протоколу, атаки SIP, ESP flood, атака посилення DNS, DNS Garbage Flood, DNS NXDOMAIN flood, DNS Query flood;

- наявність захисту від DDoS на рівні програми не нижче ніж L7 від векторів атак:

HTTP flood атака, WordPress pingback атака, HULK атака, атака LOIC, атака Slowloris, Mirai і Mirai-variant HTTP-атаки;

- наявність можливості створення власних правил обробки запитів;

- здатність справлятися з атаками зі швидкістю більше ніж 1 Тбіт/с.

2.5. Вимоги до функціональності Access - функціонал ідентифікацію, пристрої та контекст, враховуючи стан пристрою, ідентифікацію, місцезнаходження, політики доступу до даних і т.д. (вбудовано або за допомогою інтеграції).

- гранульований контроль для кожної програми, кожного варіанту використання, кожного користувача для контекстно-залежного керування доступом - забезпечити Access для 100 користувачів.

2.8. Захист вебдодатків та вимоги такого захисту - наявність захисту від не менше ніж 10 найпопулярніших вразливостей OWASP;

- захист від атак, які використовують вразливості додатку, що не входять в перелік OWASP Top 10;

- наявність встановлених шаблонів безпеки в залежності від платформи;

- наявність можливості налаштування правил реакції на загрозу для кожного підпису;

- наявність автоматичного оновлення підписів безпеки.

2.9. Вимоги до шифрування - наявність доменів для захисту: не менше ніж 2-х зон;

- наявність вторинного захисту DNS для не менше ніж 2-х зон;

- наявність підтримки протоколу шифрування TLS не нижче версії 1.3;

- можливість визначення мінімальної версії протоколу шифрування даних для доступу до ресурсу;

- можливість використовувати шифрування тільки для клієнтської сесії;

- можливість шифрувати обидві сесії (на стороні клієнта та на стороні сервера);

- можливість використання власних сертифікатів для шифрування даних;

- можливість використання HTTP Strict Transport Security;

- можливість зазначити тривалість для політики HSTS браузера та вимог HTTPS на вебсайті;

- можливість застосування політики HSTS від батьківського домену до субдоменів.

2.10. Вимоги до DNS - не менше ніж 10 мільйонів запитів DNS на місяць;

- можливість розміщення доменної зони на серверах виробника рішення;

- використання протоколу DNSSEC.

3. Підсистема для захисту мережевої інфраструктури від DDoS-атак Magic Transit Cloudflare (або еквівалент).

3.1. Кількість 1 шт.

3.2. Загальні умови - рішення має бути повністю хмарним - повинно мати Anti-DDoS здатність щонайменше 380 Тбіт/с - повинно мати фізичний PoP в Україні - повинно працювати з використанням протоколу BGP - повинно працювати в мережі Anycast.

3.3. Заходи захисту від DDoS-атак у хмарі - рішення повинно захищати від просунутих DDoS-атак на L3/L4 моделі OSI, включаючи, але не обмежуючись:

− UDP flood attack − SYN floods − SYN-ACK reflection attack − ACK floods − Mirai and Mirai-variant L3/4 attacks − ICMP flood attack − SNMP flood attack − QUIC flood attack − Out of state TCP attacks − Protocol violation attacks − SIP attacks − ESP flood − DNS amplification attack − DNS Garbage Flood − DNS NXDOMAIN flood − DNS Query flood − повністю рандомізовані та підроблені ACK-флуди, SYN-флуди, атаки з відображенням SYN-ACK та інші складні DDoS-атаки на основі TCP − складні та повністю рандомізовані DNS-атаки, включаючи атаки з використанням випадкових префіксів та атаки відмивання даних DNS Захист Cloud Anti-DDoS повинен включати хмарний брандмауер L3/L4 з наступними функціями, щоб мати змогу дозволяти або блокувати трафік для різних характеристик пакетів, включаючи, але не обмежуючись:

-IP-адреса джерела та призначення джерело та призначення портів TCP/UDP - країна походження та країна призначення - необроблений IP-пакет у вигляді списку байтів - обробка трафіку в центрі обробки даних - довжина заголовка IPv4 у байтах - довжина пакета - TTL IP-пакета - пакети на основі номера автономної системи (ASN) - необроблений TCP/UDP-пакет у вигляді списку байтів - TCP-прапори, включаючи прапори підтвердження, зменшення вікна перевантаження, ECN-Echo, push, reset, urgent, synchronize Хмарний брандмауер L3/L4 повинен забезпечувати:

− налаштовувані списки IP-адрес − списки керованих IP-адрес для аналізу загроз (анонімайзер, ботнет, шкідливе програмне забезпечення, відкриті проксі-сервери, VPN) − захоплення пакетів на вимогу для усунення несправностей мережі 3.4. Управління та автоматизація Рішення Anti-DDoS повинно мати можливість керування за допомогою інтерфейсу користувача та API.

API має бути добре задокументованим та підтримувати всі функції інтерфейсу користувача та багато іншого, використовуючи виклики API, включаючи advertisement та видалення BGP-маршруту для префікса.

3.5. Аналітика та журнали Рішення повинно забезпечувати аналітику моделей мережевого та транспортного трафіку, а також DDoS-атак. Аналітика повинна візуалізувати дані на рівні пакетів та бітів. Дані повинні бути доступні через GraphQL API. Крім того, рішення повинно підтримувати передачу необроблених журналів аналітики до систем зберігання даних, SIEM-систем та HTTP-адрес.

3.6. Варіанти підключення Рішення дозволить підключати як локальні, так і хмарні мережі.

Підключення до хмарного рішення Anti-DDoS має бути організовано через тунелі GRE/IPSec.

3.7. Продуктивність та надійність Механізми виявлення та пом'якшення наслідків повинні бути доступні у всіх центрах обробки даних без необхідності перенаправлення трафіку до центрів очищення.

Усі центри обробки даних провайдера повинні мати можливість обробляти інкапсуляцію GRE/IPSec для трафіку, спрямованого до мережі клієнта.

Тунелі GRE/IPSec повинні бути резервними на рівнях локальних маршрутизаторів та інтернет-провайдерів.

Тунелі GRE/IPSec повинні контролюватися за допомогою перевірок справності.

Рішення повинно підтримувати балансування навантаження трафіку, що передається через тунелі GRE/IPSec, і мати можливість встановлювати пріоритети для цих тунелів для оптимального резервування.

Примітки:

* Не заповнені поля по тексту технічної специфікації заповнюються Учасником закупівлі. Інформація, що заповнюється Учасником закупівлі повинна містити конкретні значення параметрів програмної продукції та не повинна містити формулювань "не більше/не менше/не нижче/не вище, тощо". Наявність останніх унеможливлює порівняння якісних та технічних характеристик програмної продукції, що вимагаються Замовником та пропонуються Учасником. Не дотримання Учасником у технічній специфікації вищезазначених вимог є підставою для відхилення такої тендерної пропозиції.

У складі Пропозиції Скаржника містяться, зокрема:

1) довідка від 27.08.2025 № 5/UA-2025-08-20-006630-a (файл "5 ДОВІДКА .pdf.p7s"), відповідно до якої Скаржником запропоновано:

1. Доступ до програмного забезпечення - ліцензії на програмну продукцію (екземпляр комп`ютерної програми) HYAS Protect - 1500 користувачів – 1 шт.;

2. Програмна продукція Cloudflare Enterprise Service and additional domains.

Clоudflare incl (CDN - Total Data Transfer - 1 TB, Advanced Certificates Manager - Domains 2 Zones, Application Security Core – Included MM Requests, Application Security Core - MM Requests - 10 MM Requests, Foundation DNS - Queries - 10 MM, Email Security Enterprise per Knowledge Worker - 1500 Knowledge Worker, Foundation DNS - Records - 100 10K, CDN Data Transfer (Europe) - 1 TB, CDN - Requests - 10 MM Requests, Access - User - 100 Seats, Advanced DDoS - Included TB, Bot Management - Bot Management Requests - 10 MM Requests, Enterprise - Primary - Domains - 2 Zones, Enterprise - Secondary - Domains - 2 Zones, Standard Success Offering - Included , Premium Success - Included , Data Localization Suite (DLS) - Included) – 1 шт;

3. Програмна продукція Cloudflare Enterprise Service and additional domains.

Clоudflare incl (Magic Transit: Always On GRE - Total Bandwidth – 100 Mbps, Magic Transit:

Always On GRE - Bandwidth (Europe) - 100 Mbps, Magic Transit: Always On GRE – Routers – 8 Routers, Magic Transit: Always On GRE - IP Prefix – 1 IP Prefix, Standard Success Offering Included, Premium Success - Included) – 1 шт.;

2) технічна специфікація за формою додатку 5 Документації (файл "Технічні характеристики.pdf.p7s"), відповідно до якої Скаржником запропоновано:

1. Доступ до програмного забезпечення - ліцензії на програмну продукцію (екземпляр комп`ютерної програми) HYAS Protect - 1500 користувачів:

1.7. Вимоги до функціональності захисту:

ПП має у складі необхідний функціонал для блокування шкідливого трафіку DNS за замовчуванням від виробника. Показники підтверджені дослідженнями AV-TEST.

ПП забезпечує безпеку та блокування командноконтрольного зв’язку (C2), який використовує шкідливе програмне забезпеченням, програмамивимагачами, фішингом і атаками на supply chain, при цьому надає інтелектуальні дані на вимогу для покращення існуючого стека безпеки та ІТ-керування. Усуває загрози у режимі реального часу.

1.12. Рівень доступності:

Платформа ПП доступна 99,9 % часу ПП відновлюється після технічних проблем.

1.13. Вимога до підтримки Підтримка забезпечує:

– захист 24/7;

– спеціалізовану підтримку з доступом до порталу виробника;

– першу лінію підтримки доступну в Україні від офіційного представника розробника;

– ввідний інструктаж, адаптація та підтримка користувачів;

– навчання та тренінги без обмежень і додаткової плати;

– щоквартальний звіт про успіх користувача;

– щоквартальні зустрічі з технічною командою виробника для будь-яких питань / обговорень щодо роботи та функціоналу продукту;

– виробник ділиться знаннями, заснованими на досвіді інших клієнтів (успішними USE-cases).

2. Програмна продукція Cloudflare Enterprise Service and additional domains.

Clоudflare incl (CDN - Total Data Transfer - 1 TB, Advanced Certificates Manager - Domains 2 Zones, Application Security Core – Included MM Requests, Application Security Core - MM Requests - 10 MM Requests, Foundation DNS - Queries - 10 MM, Email Security Enterprise per Knowledge Worker - 1500 Knowledge Worker, Foundation DNS - Records - 100 10K, CDN Data Transfer (Europe) - 1 TB, CDN - Requests - 10 MM Requests, Access - User - 100 Seats, Advanced DDoS - Included TB, Bot Management - Bot Management Requests - 10 MM Requests, Enterprise - Primary - Domains - 2 Zones, Enterprise - Secondary - Domains - 2 Zones, Standard Success Offering - Included , Premium Success - Included , Data Localization Suite (DLS) - Included).

2.2. Вимоги до архітектури рішення − Рішення має хмарну архітектуру;

− працює в режимі Reverse Proxy;

− центри обробки даних доступні у 330 містах світу;

− уніфікований функціонал присутній у кожному ЦОД;

− пропускна здатність глобальної мережі, яка складається з транзитних з’єднань, однорангових з’єднань і приватних мережевих з’єднань, становить 380 Тбіт/с;

− відповідає сертифікації стандарту ISO 27001;

− відповідає стандарту SOC 2 Type II, SOC 3;

− є можливість обмежувати зберігання й оброблення даних конкретними регіонами, або виключення певних регіонів зі списку зі зберігання й оброблення даних.

2.3. Вимоги до функціональності захисту ПП має:

− механізми захисту: Blocking, Captcha Challenge, JS Challenge;

− можливість визначення реакції на кожну подію безпеки;

− можливість визначення 1000 правил доступу на основі UserAgent;

− можливість визначення 125 правил доступу для окремих областей вебсайту;

− можливість визначення параметрів HTTP-запиту для окремих сторінок (окремі URI);

− можливість контролювати ресурси, кешовані клієнтськими браузерами, на термін, який вони залишаються дійсними;

− можливість контролювати обхід кешу та отримувати ресурси з вихідного сервера;

− можливість розділяти кешований вміст на основі типу пристрою відвідувача;

− можливість конкретно контролювати, які змінні включати, вирішуючи, які ресурси кешувати;

− можливість за допомогою JA3 та JA4 fingerprints профілювати певних клієнтів SSL/TLS для різних IP-адрес призначення, портів та сертифікатів X509.

− можливість увімкнути або вимкнути систему, не очікуючи цілого файлу з вихідного сервера, перш ніж пересилати його відвідувачу вебсайту;

− можливість включити режим захисту для всього ресурсу;

− загальний легальний трафік: 1 ТБ на місяць;

− має 10 мільйонів законних запитів на місяць.

2.4. Захист від DDoS атак та вимоги такого захисту - наявний захист DDoS на рівні мережі L3/L4 від векторів атак: UDP flood атаки, SYN flood, SYN-ACK flood атаки, ACK flood, Mirai та Mirai-variant L3/4 атаки, ICMP flood атаки, SNMP flood атаки, QUIC flood атаки, атаки поза станом TCP, атаки на порушення протоколу, атаки SIP, ESP flood, атака посилення DNS, DNS Garbage Flood, DNS NXDOMAIN flood, DNS Query flood;

- наявний захист від DDoS на рівні програми L7 від векторів атак: HTTP flood атака, WordPress pingback атака, HULK атака, атака LOIC, атака Slowloris, Mirai і Miraivariant HTTP-атаки;

- наявна можливість створення власних правил обробки запитів;

- здатність справлятися з атаками зі швидкістю 1 Тбіт/с і більше.

2.5. Вимоги до функціональності Access - функціонал ідентифікацію, пристрої та контекст, враховуючи стан пристрою, ідентифікацію, місцезнаходження, політики доступу до даних і т.д. (вбудовано).

- гранульований контроль для кожної програми, кожного варіанту використання, кожного користувача для контекстнозалежного керування доступом - забезпечує Access для 100 користувачів.

2.8. Захист вебдодатків та вимоги такого захисту - наявність захисту від 10 найпопулярніших вразливостей OWASP;

- захист від атак, які використовують вразливості додатку, що не входять в перелік OWASP Top 10;

- наявні встановлені шаблони безпеки в залежності від платформи;

- наявна можливість налаштування правил реакції на загрозу для кожного підпису;

- наявне автоматичне оновлення підписів безпеки.

2.9. Вимоги до шифрування - наявні домени для захисту 2-х зон;

- наявний вторинний захист DNS для 2-х зон;

- наявна підтримка протоколу шифрування TLS версії 1.3;

- наявна можливість визначення мінімальної версії протоколу шифрування даних для доступу до ресурсу;

- є можливість використовувати шифрування тільки для клієнтської сесії;

- є можливість шифрувати обидві сесії (на стороні клієнта та на стороні сервера);

- є можливість використання власних сертифікатів для шифрування даних;

- є можливість використання HTTP Strict Transport Security;

- є можливість зазначити тривалість для політики HSTS браузера та вимог HTTPS на вебсайті;

- наявна можливість застосування політики HSTS від батьківського домену до субдоменів.

2.10. Вимоги до DNS - 10 мільйонів запитів DNS на місяць;

- є можливість розміщення доменної зони на серверах виробника рішення;

- використання протоколу DNSSEC.

3. Програмна продукція Cloudflare Enterprise Service and additional domains.

Clоudflare incl (Magic Transit: Always On GRE - Total Bandwidth – 100 Mbps, Magic Transit:

Always On GRE - Bandwidth (Europe) - 100 Mbps, Magic Transit: Always On GRE – Routers – 8 Routers, Magic Transit: Always On GRE - IP Prefix – 1 IP Prefix, Standard Success Offering Included, Premium Success - Included).

3.1. Кількість 3.2. Загальні умови - рішення повністю хмарне - має Anti-DDoS здатність 380 Тбіт/с - має фізичний PoP в Україні - працює з використанням протоколу BGP - працює в мережі Anycast.

3.3. Заходи захисту від DDoS-атак у хмарі - рішення захищає від просунутих DDoS-атак на L3/L4 моделі OSI, включаючи, але не обмежуючись:

− UDP flood attack − SYN floods − SYN-ACK reflection attack − ACK floods − Mirai and Mirai-variant L3/4 attacks − ICMP flood attack − SNMP flood attack − QUIC flood attack − Out of state TCP attacks − Protocol violation attacks − SIP attacks − ESP flood − DNS amplification attack − DNS Garbage Flood − DNS NXDOMAIN flood − DNS Query flood − повністю рандомізовані та підроблені ACK-флуди, SYNфлуди, атаки з відображенням SYN-ACK та інші складні DDoSатаки на основі TCP − складні та повністю рандомізовані DNS-атаки, включаючи атаки з використанням випадкових префіксів та атаки відмивання даних DNS Захист Cloud Anti-DDoS включає хмарний брандмауер L3/L4 з наступними функціями, щоб мати змогу дозволяти або блокувати трафік для різних характеристик пакетів, включаючи, але не обмежуючись:

-IP-адреса джерела та призначення джерело та призначення портів TCP/UDP - країна походження та країна призначення - необроблений IP-пакет у вигляді списку байтів - обробка трафіку в центрі обробки даних - довжина заголовка IPv4 у байтах - довжина пакета - TTL IP-пакета - пакети на основі номера автономної системи (ASN) - необроблений TCP/UDP-пакет у вигляді списку байтів - TCP-прапори, включаючи прапори підтвердження, зменшення вікна перевантаження, ECN-Echo, push, reset, urgent, synchronize Хмарний брандмауер L3/L4 забезпечує:

− налаштовувані списки IP-адрес − списки керованих IP-адрес для аналізу загроз (анонімайзер, ботнет, шкідливе програмне забезпечення, відкриті проксісервери, VPN) − захоплення пакетів на вимогу для усунення несправностей мережі 3.4. Управління та автоматизація Рішення Anti-DDoS має можливість керування за допомогою інтерфейсу користувача та API.

API добре задокументоване та підтримує всі функції інтерфейсу користувача та багато іншого, використовуючи виклики API, включаючи advertisement та видалення BGPмаршруту для префікса.

3.5. Аналітика та журнали Рішення забезпечує аналітику моделей мережевого та транспортного трафіку, а також DDoS-атак. Аналітика візуалізує дані на рівні пакетів та бітів. Дані доступні через GraphQL API. Крім того, рішення підтримує передачу необроблених журналів аналітики до систем зберігання даних, SIEMсистем та HTTP-адрес.

3.6. Варіанти підключення Рішення дозволяє підключати як локальні, так і хмарні мережі. Підключення до хмарного рішення Anti-DDoS організовано через тунелі GRE/IPSec.

3.7. Продуктивність та надійність Механізми виявлення та пом'якшення наслідків доступні у всіх центрах обробки даних без необхідності перенаправлення трафіку до центрів очищення.

Усі центри обробки даних провайдера мають можливість обробляти інкапсуляцію GRE/IPSec для трафіку, спрямованого до мережі клієнта.

Тунелі GRE/IPSec є резервними на рівнях локальних маршрутизаторів та інтернетпровайдерів.

Тунелі GRE/IPSec контролюються за допомогою перевірок справності.

Рішення підтримує балансування навантаження трафіку, що передається через тунелі GRE/IPSec, і має можливість встановлювати пріоритети для цих тунелів для оптимального резервування.

3) лист про відповідність (файл "Letter__HYAS_-_tech.docx.pdf.p7s"), відповідно до якого зазначено, зокрема:

"Ми, HYAS Infosec Inc., цим листом підтверджуємо відповідність технічних характеристик програмної продукції "Доступ до програмного забезпечення - ліцензії на програмну продукцію (екземпляр комп`ютерної програми) HYAS Protect - 1500 користувачів", яка пропонується до постачання в межах закупівлі UA-2025-08-20-006630a, вимогам тендерної документації, у тому числі кількісним, якісним і технічним характеристикам предмету закупівлі які наведені у таблиці розділу 2 Додатка № 5 тендерної документації".

Відповідно до зазначеного листа щодо вимог Замовника за позицією № 1, у тому числі щодо вимог, наведених в пунктах 1.7, 1.12, 1.13 зазначено: "Відповідає встановленим вимогам";

4) лист відповідність (файл "CloudFlare_Letter_for_UHE_.pdf.p7s"), відповідно до якого зазначено, зокрема:

"Cloudflare, Inc., цим листом підтверджуємо відповідність технічних характеристик програмної продукції, яка пропонується до постачання в межах закупівлі UA-2025-08-20006630-а, вимогам тендерної документації, у тому числі кількісним, якісним і технічним характеристикам предмету закупівлі які наведені у таблиці розділу 2 Додатка № 5 тендерної документації".

Відповідно до зазначеного листа щодо вимог Замовника за позиціями №№ 2-3, у тому числі щодо вимог, наведених в пунктах 2.2, 2.3, 2.4, 2.5, 2.8, 2.9, 2.10, 3.1, 3.2, 3.3, 3.4, 3.5, 3.6, 3.7 зазначено: "Відповідає вимогам Замовника".

Документація не містить окремих вимог до порядку зазначення інформації про відповідність запропонованого товару у довідках (листах) від виробника програмної продукції, у тому числі не містить окремих вимог щодо необхідності зазначення у наведених листах технічних характеристик, вказаних Скаржником у своїй Пропозиції.

Також враховуючи інформацію про кількість запропонованого товару, наведену в довідці від 27.08.2025 № 5/UA-2025-08-20-006630-a та листі Cloudflare, Inc., Замовник не довів, яким чином оформлення Скаржником технічної специфікації в частині пункту 3.1 у наведений вище спосіб впливає на зміст Пропозиції.

Враховуючи надані Скаржником у складі Пропозиції документи, Пропозиція Скаржника була неправомірно відхилена Замовником з наведеної вище підстави.

Враховуючи інформацію, наведену в мотивувальній частині рішення, Пропозиція Скаржника була неправомірно відхилена Замовником з підстав, наведених у протоколі від 05.09.2025 № 220/2025/1.

Неправомірно відхиливши Пропозицію Скаржника з підстав, наведених у протоколі від 05.09.2025 № 220/2025/1, Замовник порушив вимоги пункту 44 Особливостей.

Відповідно до пункту 55 Особливостей оскарження відкритих торгів відбувається відповідно до статті 18 Закону з урахуванням цих особливостей.

Відповідно до частини вісімнадцятої статті 18 Закону за результатами розгляду скарги орган оскарження має право прийняти рішення:

1) про встановлення або відсутність порушень процедури закупівлі (у тому числі порушення порядку оприлюднення або неоприлюднення інформації про процедури закупівлі, передбаченої цим Законом);

2) про заходи, що повинні вживатися для їх усунення, зокрема зобов’язати замовника повністю або частково скасувати свої рішення, надати необхідні документи, роз’яснення, усунути будь-які дискримінаційні умови (у тому числі ті, що зазначені в технічній специфікації, яка є складовою частиною тендерної документації), привести тендерну документацію у відповідність із вимогами законодавства або за неможливості виправити допущені порушення відмінити процедуру закупівлі.

Враховуючи викладене, права та законні інтереси Скаржника можуть бути захищені шляхом зобов’язання Замовника скасувати рішення про відхилення Пропозиції Скаржника.

Орган оскарження розглядає скаргу та приймає рішення на її підставі в межах одержаної за скаргою інформації та інформації, розміщеної в електронній системі закупівель, виходячи з положень частини шістнадцятої статті 18 Закону.

Враховуючи наведену вище інформацію, наявні підстави для задоволення Скарги частково.

Враховуючи викладене, керуючись статтею 18 Закону України "Про публічні закупівлі" та Постановою Кабінету Міністрів України від 12.10.2022 № 1178 "Про затвердження особливостей здійснення публічних закупівель товарів, робіт і послуг для замовників, передбачених Законом України "Про публічні закупівлі", на період дії правового режиму воєнного стану в Україні та протягом 90 днів з дня його припинення або скасування", Комісія Антимонопольного комітету України з розгляду скарг про порушення законодавства у сфері публічних закупівель

ПОСТАНОВИЛА:

Зобов'язати приватне акціонерне товариство "Укргідроенерго" (код ЄДРПОУ:

20588716) скасувати рішення про відхилення тендерної пропозиції товариства з обмеженою відповідальністю "САЙБЕРПРО" (код ЄДРПОУ: 43894987) за процедурою закупівлі — "ДК 021:2015 код 48730000-4 Пакети програмного забезпечення для забезпечення безпеки (Програмна продукція двостороннього захисту Інтернет-трафіку ПрАТ "Укргідроенерго")", оголошення про проведення якої оприлюднене на веб-порталі Уповноваженого органу за № UA-2025-08-20-006630-a.

Рішення може бути оскаржене до суду у встановлений Законом строк.

Голова Комісії Ганна ГОРНОСТАЛЬ Члени Комісії Діана ГОСТЄВА Наталя ЛЕНЬ

Скарга

Скарга на неправомірне рішення Замовника про відхилення тендерної пропозиції ТОВ «САЙБЕРПРО»