Консультаційні послуги щодо створення та впровадження системи управління інформаційною безпекою відповідно до вимог ДСТУ ISO/IEC 27001:2023 «Інформаційна безпека, кібербезпека...

Текст рішення

РІШЕННЯ

№17979-р/пк-пз від 04.12.2025 Комісія Антимонопольного комітету України з розгляду скарг про порушення законодавства у сфері публічних закупівель (надалі – Комісія), розглянувши скаргу товариства з обмеженою відповідальністю "ВИПРОБУВАЛЬНИЙ ЦЕНТР "ФАКТУМ" (код ЄДРПОУ: 40875186) від 21 листопада 2025 № UA-2025-11-17-003756-a.b1 (надалі – Скарга) щодо порушення Замовником порядку проведення Процедури закупівлі,

ВСТАНОВИЛА:

Надалі за текстом вказаного рішення терміни та визначення:

- Закон України "Про публічні закупівлі" – Закон;

- Особливості здійснення публічних закупівель товарів, робіт і послуг для замовників, передбачених Законом України "Про публічні закупівлі", на період дії правового режиму воєнного стану в Україні та протягом 90 днів з дня його припинення або скасування, затверджені Постановою Кабінету Міністрів України від 12.10.2022 № 1178 "Про затвердження особливостей здійснення публічних закупівель товарів, робіт і послуг для замовників, передбачених Законом України "Про публічні закупівлі", на період дії правового режиму воєнного стану в Україні та протягом 90 днів з дня його припинення або скасування" – Особливості;

- тендерна документація – Документація;

- тендерна пропозиція – Пропозиція.

Скаржник повідомляє про порушення Замовником порядку проведення Процедури закупівлі та просить, зокрема, зобов'язати Замовника внести зміни до Документації.

Рішенням Комісії від 25.11.2025 № 17479-р/пк-пз Скарга була прийнята до розгляду.

На веб-порталі Уповноваженого органу (prozorro.gov.ua) Комісією було зобов’язано Замовника надати пояснення по суті Скарги.

Замовник шляхом розміщення листа на веб-порталі Уповноваженого органу надав пояснення по суті Скарги.

Скаржник 01.12.2025 надав заперечення на пояснення Замовника.

Замовник 03.12.2025 надав додаткові пояснення по суті Скарги.

Розглянувши Скаргу та інформацію, одержану за Скаргою, та інформацію, розміщену в електронній системі закупівель, встановлено наступне.

Скаржник зазначає, що відповідно до додатку 1 до Документації, який містить технічну специфікацію до предмету закупівлі:

"Консультаційні послуги щодо створення та впровадження СУІБ передбачає:

розробку процесів інформаційної безпеки, документів у межах сфери застосування СУІБ, відповідно до вимог ДСТУ ISO/IEC 27001:2023 та чинного законодавства у сфері інформаційної безпеки, проведення навчання персоналу.

Консультаційні послуги щодо створення та впровадження системи управління інформаційною безпекою відповідно до вимог ДСТУ ISO/IEC 27001:2023 надаються згідно з наступними нормативно-правовими документами:

Закону України "Про інформацію";

Закону України "Про захист персональних даних";

Закону України "Про основні засади забезпечення кібербезпеки України";

Закону України "Про доступ до публічної інформації";

Закону України "Про захист інформації в інформаційно-комунікаційних системах";

ДСТУ ISO/IEC 27001:2023 (ISO/IEC 27001:2022, IDT) "Інформаційна безпека, кібербезпека та захист конфіденційності. Системи керування інформаційною безпекою.

Вимоги";

ДСТУ EN ISO/IEC 27701:2022 (EN ISO/IEC 27701:2021, IDT; ISO/IEC 27701:2019, IDT) "Методи безпеки. Розширення до ISO/IEC 27001 ma ISO/IEC 27002 для управління конфіденційною інформацією. Вимоги та вказівки";

ДСТУ ISO/IEC 27005:2023 "Інформаційна безпека, кібербезпека та захист конфіденційності. Настанова керування ризиками інформаційної безпеки (ISO/IEC 27005:2022, IDT)";

ДСТУ ISO 19011:2019 Настанови щодо проведення аудитів систем управління (ISO 19011:2018, IDT)".

При цьому, відповідно до додатку 3 Документації встановлено кваліфікаційні критерії наявності працівників, спосіб підтвердження відповідності яким містить дискримінаційну складову в частині наступних вимог.

"Учасник повинен мати щонайменше одного фахівця (працівника, залученого спеціаліста, фізичну особу-підприємця, субпідрядника чи співвиконавця), який залучається для надання послуг за предметом закупівлі та має необхідні знання і досвід у сфері систем управління інформаційною безпекою відповідно до вимог стандарту ISO/IEC 27001.

Фахівець повинен мати документальне підтвердження проходження професійного навчання (підготовки, курсу, тренінгу) у сфері аудиту або впровадження систем управління інформаційною безпекою (ISMS) за стандартом ISO/IEC 27001:2022.

Навчальний курс або тренінг повинен бути сертифікований міжнародними професійними організаціями CQI (Chartered Quality Institute )та IRCA (International Register of Certificated Auditors).

… Документальне підтвердження відповідності вимозі:

2. Копія документа, що підтверджує наявність правовідносин між Учасником та фахівцем зазначеним у Довідці за Формою 1 (наказ про прийняття на роботу, витяг із трудової книжки, цивільно-правовий договір, договір про надання послуг з ФОП, договір субпідряду, договір співвиконання тощо).

3. Копія чинного сертифіката про проходження навчання фахівця зазначеного у Довідці за Формою 1 за програмою "Lead Auditor Training Course ISMS (ISO/IEC 27001:2022)", виданого акредитованим постачальником курсів, сертифікованим CQI та IRCA (наприклад, Bureau Veritas або іншим офіційно визнаним провайдером), виданого не раніше 2023 року".

Скаржник зазначає, що Замовником вимагається підтвердження кваліфікації працівника учасника виключно шляхом надання сертифіката про проходження навчання фахівця зазначеного у довідці за формою 1 за програмою "Lead Auditor Training Course ISMS (ISO/IEC 27001:2022)", виданого акредитованим постачальником курсів, сертифікованим COI та IRCA (наприклад, Bureau Veritas або іншим офіційно визнаним провайдером), що є дискримінаційним та не узгоджується із чинним законодавством.

Так, Скаржник має досвід надання відповідних послуг та бажає прийняти участь у закупівлі, має відповідного фахівця, який залучатиметься для надання послуг за предметом закупівлі та має необхідні знання і досвід у сфері систем управління інформаційною безпекою відповідно до вимог стандарту ДСТУ ISO/IEC 27001:2023 та ISO/IEC 27001 з відповідною кваліфікацією, на підтвердження чого додаються наступні документи щодо Казимир О.М.

Однак, Скаржник не має можливості надати на такого фахівця саме сертифікат про проходження навчання за програмою "Lead Auditor Training Course ISMS (ISO/IEC 27001:2022)", виданого акредитованим постачальником курсів, сертифікованим CQI ma IRCA, який без достатніх підстав необгрунтовано дискримінаційно вимагається Замовником.

Скаржник також зауважує, що предметом закупівлі є Консультаційні послуги щодо створення та впровадження СУІБ передбачає: розробку процесів інформаційної безпеки, документів у межах сфери застосування СУІБ, відповідно до вимог саме ДСТУ ISO/IEC 27001:2023. Так, стандарт ISO/IEC 27001:2022 "Information security, cybersecurity and privacy protection Information security management systems Requirements" є міжнародним стандартом, прийнятим англійською мовою спільно ISO та Міжнародною електротехнічною комісією (ІЕС). У той же час, національний стандарт ДСТУ ISO/IEC 27001:2023 Інформаційна безпека, кібербезпека та захист конфіденційності. Системи керування інформаційною безпекою. Вимоги (ISO/IEC 27001:2022, IDT) затверджений як державний стандарт Наказом від 17.08.2023 № 210 ДП "УкрНДНЦ".

Відтак, вимоги Замовника щодо навчання фахівця учасника саме за програмою "Lead Auditor Training Course - ISMS (ISO/IEC 27001:2022)" не відповідає технічному завданню, яке передбачає впровадження СУІБ відповідно до вимог саме ДСТУ ISO/IEC 27001:2023.

За твердженням Скаржник, Замовник штучно обмежує коло учасників звужуючи суб'єкта проведення навчання та видачі сертифікату фахівцю виключно постачальником курсів, сертифікованим CQI та IRCA, попри те, що як національне, так і міжнародне, законодавство не містить таких вимог і обмежень до навчання фахівців. При цьому, наявні у фахівця Скаржника сертифікати видані ТОВ "ОСП УАЯ", який акредитований в Національному агентстві з акредитації України (НААУ) на сертифікацію персоналу в сфері систем менеджменту. НААУ є членом 5 категорії А Європейської кооперації з акредитації (ЕА) та підписантом Багатосторонньої Угоди 3 EA (EA MLA). НААУ є членом Міжнародного форуму з акредитації (IAF) та підписантом Багатосторонньої Угоди про взаємне визнання (IAF MLA). Завдяки цьому сертифікати ОСП УАЯ мають міжнародне визнання. У той же час, нормативно-правовими актами, відповідно до яких надаються консультаційні послуги щодо створення та впровадження системи управління інформаційною безпекою відповідно до вимог ДСТУ ISO/IEC 27001:2023 за предметом закупівлі, які перераховані Замовником у додатку 1 (технічне завдання), не встановлено вимог до кваліфікації персоналу, який здійснює розробку і впровадження СУІБ, у тому числі, щодо обов'язкового проходження навчальних курсів саме у органу, що сертифікований CQI та IRCA.

Отже, отримання фахівцем по впровадженню СУІБ сертифікату, виданого виключно акредитованим постачальником курсів, сертифікованим CQI та IRCA, ДСТУ ISO/IEC 27001:2023 не передбачено. Інститут сертифікованої якості (CQI) є неурядовою статутною інституцією з управління якістю, який веде Міжнародний реєстр сертифікованих аудиторів (IRCA) зі штаб-квартирою у Великій Британії.

У той же час, Орган сертифікації персоналу Української асоціації якості (ОСП УАЯ) - професійна організація, яка з 2002 року займається сертифікацією персоналу в сфері менеджменту. З 2002 по 2016 р. ОСП УАЯ був національним представником Європейської організації якості (EOQ) та національним агентом її органу з реєстрації персоналу (PRU).

ОСП УАЯ з 2007 року акредитовано Національним агентством з акредитації України (НААУ), атестат акредитації № 60010. Натомість, Замовник необгрунтовано обмежує учасників у наданні на фахівця сертифікату, виданого виключно акредитованим постачальником курсів, сертифікованим CQI ma IRCA.

Таким чином, вимога щодо надання сертифікату фахівця про проходження навчання за програмою "Lead Auditor Training Course ISMS (ISO/IЕС 27001:2022)", виданого акредитованим постачальником курсів, сертифікованим CQI та IRCA є незаконним та дискримінаційним, оскільки суть навчання (ISO/IEC 27001:2022) не узгоджується із змістом технічного завдання (ДСТУ ISO/IEC 27001:2023); нормативно-правові акти, відповідно до яких надаються послуги згідно технічного завдання, у т.ч. ДСТУ ISO/IEC 27001:2023, не передбачають вимог щодо навчання фахівцем саме за програмою "Lead Auditor Training Course ISMS (ISO/IЕС 27001:2022)", з видачею сертифікату акредитованим постачальником курсів, сертифікованим COI та IRCA; встановлені вимоги не мають ані законодавчого, ані іншого підгрунтя необхідності та доцільності їх встановлення; на території України не є обов'язковим навчання фахівців із розробки і впровадження СУІБ саме за програмою "Lead Auditor Training Course - ISMS (ISO/IEC 27001:2022)", з видачею сертифікату акредитованим постачальником курсів, сертифікованим COI ma IRCA; дана вимога обмежує в участі учасників, які мають кваліфікованих фахівців, які пройшли відповідне навчання та підтвердили виконання вимог до компетентності "Аудитор систем менеджменту інформаційної безпеки ДСТУ ISO/IEC 27001:2023 Інформаційна безпека, кібербезпека та захист конфіденційності. Системи керування інформаційною безпекою.

Вимоги (ISO/IEC 27001:2022, ID), ISO/IEC 27001:2022, IDT, у національних суб'єктів постачальником курсів, які здійснюють сертифікацію персоналу в сфері систем менеджменту, зокрема, Скаржника.

Замовник зазначає, що навчання за програмою питань щодо ISO/IEC 27001:2022 є еквівалентним до навчання за програмою ДСТУ ISO/IEC 27001:2023, оскільки національний стандарт ДСТУ ISO/IEC 27001:2023 "Інформаційна безпека, кібербезпека та захист конфіденційності. Системи керування інформаційною безпекою. Вимоги (ISO/IEC 27001:2022, IDT)" є ідентичним міжнародному стандарту ISO/IEC 27001:2022 "Information security, cybersecurity and privacy protection — Information security management systems — Requirements", про що говорить познака національного стандарту IDT.

Оскільки консультаційні послуги щодо створення та впровадження системи управління інформаційною безпекою передбачають проведення діагностичного аудиту та оцінювання результатів функціонування системи управління інформаційною безпекою, відповідно до п.3.4 Технічної специфікації до предмета закупівлі, то залучені консультанти повинні мати відповідну кваліфікацію, що передбачено п. 7.2.3.2 ДСТУ ISO 19011:2019 Настанови щодо проведення аудитів систем управління (ISO 19011:2018, IDT).

Крім того, вимоги компетентності аудиторів передбачені у розділі 7 стандарту ДСТУ EN ISO/IEC 27007:2022 Інформаційні технології. Методи захисту. Настанова щодо аудиту систем керування інформаційною безпекою (EN ISO/IEC 27007:2022, IDT; ISO/IEC 27007:2020, IDT), а також у розділі 7.1 стандарту ДСТУ EN ISO/IEC 27006:2022 Інформаційні технології. Методи захисту. Вимоги до органів, які надають послуги з аудиту і сертифікації систем управління інформаційною безпекою (EN ISO/IEC 27006:2020, IDT;

ISO/IEC 27006:2015, including Amd 1:2020, IDT). Тому було обрано необхідність підтвердження проходження навчання саме за програмою "Lead Auditor Training Course – ISMS (ISO/IEC 27001:2022)", оскільки ця програма навчання забезпечує отримання усіх необхідних знань, практичних умінь та дотримання вимог і рекомендацій зазначених стандартів.

З метою забезпечення надання Виконавцем послуг належної якості, був обраний критерій щодо акредитації вищезазначеного навчального курсу на відповідність вимогам ДСТУ EN ІSO/ІЕС 17024:2019 Оцінка відповідності. Загальні вимоги до органів, що проводять сертифікацію персоналу (EN ІSO/ІЕС 17024:2012, IDT; ІSO/ІЕС 17024:2012, IDT). Найбільшим у світі реєстром сертифікованих аудиторів систем менеджменту є IRCA (International Register of Certificated Auditors), який працює під управлінням CQI (Chartered Quality Institute) – професійний інститут у Великій Британії, що займається розвитком професії у сфері якості. Сертифікація IRCA визнається міжнародно та є показником високої професійної компетентності.

Замовник наголошує, що обрані критерії не є порушенням статті 5 в частині недискримінації учасників Закону, а навпаки – розширює коло компетентних і кваліфікованих учасників, оскільки будь-який аудитор в Україні та за її межами має можливість підтвердити свої знання та досвід у сфері систем менеджменту та надати сертифікат IRCA як доказ професійності.

Сертифікат, який надав Скаржник, виданий ТОВ "Орган сертифікації персоналу української асоціації якості", сфера акредитації якого не містить жодного посилання на стандарт ДСТУ ISO/IEC 27001:2023 (ISO/IEC 27001:2022). Тому докази, надані Скаржником і на яких ґрунтується його скарга, демонструють лише проходження навчання у сфері інформаційної безпеки, але не гарантують відповідної професійної компетентності.

Скаржник у запереченнях на пояснення Замовника зазначає, що Замовником не допущено підтвердження еквівалентного навчання за національним стандартом ДСТУ ISO/IEC 27001:2023 (при тому, що послуги надаватимуться САМЕ за національним стандартом ДСТУ). Обгрунтовуючи вимоги до кваліфікації спеціалістів учасника, Замовник посилається на наступні нормативні акти:

1) п. 7.2.3.2 ДСТУ ISO 19011:2019 Настанови щодо проведення аудитів систем управління (ISO 19011:2018, IDT), який у дійсності не предбачає отримання фахівцем по впровадженню СУІБ сертифікату, виданого сaмe i виключно акредитованим постачальником курсів, сертифікованим CQI та IRCA, ДСТУ ISO 19011:2019;

2) розділ 7 стандарту ДСТУ EN ISO/IEC 27007:2022 Інформаційні технології.

Методи захисту. Настанова щодо аудиту систем керування інформаційною безпекою (EN ISO/IEC 27007:2022, IDT; ISO/IEC 27007:2020, IDT), який у дійсності не передбачає отримання фахівцем по впровадженню СУІБ сертифікату, виданого самe i виключно акредитованим постачальником курсів, сертифікованим CQI та IRCA, ДСТУ EN ISO/IEC 27007:2022;

3) розділ 7.1 стандарту ДСТУ EN ISO/IEC 27006:2022 Інформаційні технології.

Методи захисту. Вимоги до органів, які надають послуги з аудиту і сертифікації систем управління інформаційною безпекою (EN ISO/IEC 27006:2020, IDT; ISO/IEC 27006:2015, including Amd 1:2020, IDT), який у дійсності не передбачає отримання фахівцем по впровадженню СУІБ сертифікату, виданого саме і виключно акредитованим постачальником курсів, сертифікованим CQI та IRCA, ДСТУ EN ISO/IEC 27006:2022.

У той же час, перелік нормативно-правових документів, згідно з якими надаються послуги, який розміщений у додатку 1 до Документації, навіть не містить посилань на ці ДСТУ. При цьому, Замовник стверджує що причиною обрання ним вимоги про навчання саме за програмою "Lead Auditor Training Course ISMS (ISO/IEC 27001:2022)" було те, що ця програма навчання забезпечує отримання усіх необхідних знань, практичних умінь та дотримання вимог і рекомендацій зазначених стандартів, натомість Замовник не наводить жодних доводів чи доказів, з яких би вбачалося, що пройдена фахівцем Скаржника програма навчання "Головний аудитор систем менеджменту інформаційної безпеки ДСТУ ISO/IEC 27001:2023 Інформаційна безпека, кібербезпека та захист конфіденційності.

Системи керування інформаційною безпекою. Вимоги (ISO/IEC 27001:2022, IDT), ISO/IEC 27001:2022, IDT" не забезпечує отримання таких знань і навичок.

У той же час, на офіційному веб-сайті ТОВ "Орган сертифікації персоналу української асоціації якості" розміщено програму навчання "аудитора" та "головного аудитора" за стандартом ДСТУ ISO/IEC 27001:2023, з яких вбачається забезпечення отримання усіх необхідних знань, практичних умінь та дотримання вимог і рекомендацій вищезазначених стандартів, відтак фахівець Скаржника, який пройшов навчання за вказаними програмами, достеменно володіє необхідними знаннями, навичками та досвідом, необхідними для надання послуг за предметом закупівлі, у тому числі, з урахуванням ДСТУ ISO 19011:2012, ISO 19011:2011, ISO 19011:2018, ДСТУ ISO/IEC 27001, ДСТУ ISO/IEC

27006, ДСТУ EN ISO/IEC 27007, IAF MD13.

Крім того, Замовник посилається на обрання ним критерію "акредитації вищезазначеного навчального курсу на відповідність вимогам ДСТУ EN ISO/IEC 17024:2019 Оцінка відповідності. Загальні вимоги до органів, що проводять сертифікацію персоналу (EN ISO/IEC 17024:2012, IDT; ISO/IEC 17024:2012, IDT).", натомість вказаний Замовником "реєстр сертифікованих аудиторів систем менеджменту є IRCA, який працює під управлінням CQI професійний інститут у Великій Британії" не акредитований на відповідність вимогам ДСТУ EN ISO/IEC 17024:2019, через що такі посилання і доводи є взагалі безпідставними.

У той же час, Замовник вдається до аналізу сфери акредитації ТОВ "Орган сертифікації персоналу української асоціації якості" і посилається на те, що навчання поза акредитацією "демонструє лише проходження навчання у сфері інформаційної безпеки, але не гарантують відповідної професійної компетентності". Однак, вказані доводи не узгоджуються із оскаржуваними вимогам Документації, оскільки акредиція НААУ (національного органу з акредитації) не визнається і не допускаєтсья Замовником, обмежуючи сертифікацію навчального органу лише COI ma IRCA.

Скаржник додає, що жодні норми чинного законодавства не встановлюють вимог до навчального органу, у тому числі щодо його акредитації чи сертифікації CQI та IRCA, пройти навчання у якому має спеціаліст, що надаватиме послуги за предметом закупівлі, що не було спростовано і Замовником з огляду на відсутність у його поясненнях посилань на конкретні нормативні положення.

У ході розгляду зазначеного питання встановлено наступне.

Відповідно до пункту 4.1 розділу "Загальні положення" Документації назва предмета закупівлі код ДК 021:2015: 79410000-1 - Консультаційні послуги з питань підприємницької діяльності та управління (Консультаційні послуги щодо створення та впровадження системи управління інформаційною безпекою відповідно до вимог ДСТУ ISO/IEC 27001:2023 "Інформаційна безпека, кібербезпека та захист конфіденційності. Системи керування інформаційною безпекою. Вимоги (ISO/IEC 27001:2022, IDT)").

Додаток 1 Документації містить інформацію про необхідні технічні, якісні та кількісні характеристики предмета закупівлі та ТЕХНІЧНУ СПЕЦИФІКАЦІЮ ДО

ПРЕДМЕТА ЗАКУПІВЛІ.

Розділ 3. ВИМОГИ 3.1. Консультаційні послуги щодо створення та впровадження СУІБ передбачає:

розробку процесів інформаційної безпеки, документів у межах сфери застосування СУІБ, відповідно до вимог ДСТУ ISO/IEC 27001:2023 та чинного законодавства у сфері інформаційної безпеки, проведення навчання персоналу.

3.3. Нормативні посилання:

Консультаційні послуги щодо створення та впровадження системи управління інформаційною безпекою відповідно до вимог ДСТУ ISO/IEC 27001:2023 надаються згідно з наступними нормативно-правовими документами:

Закону України "Про інформацію";

Закону України "Про захист персональних даних";

Закону України "Про основні засади забезпечення кібербезпеки України";

Закону України "Про доступ до публічної інформації";

Закону України "Про захист інформації в інформаційно-комунікаційних системах";

ДСТУ ISO/IEC 27001:2023 (ISO/IEC 27001:2022, IDT) "Інформаційна безпека, кібербезпека та захист конфіденційності. Системи керування інформаційною безпекою.

Вимоги";

ДСТУ EN ISO/IEC 27701:2022 (EN ISO/IEC 27701:2021, IDT; ISO/IEC 27701:2019, IDT) "Методи безпеки. Розширення до ISO/IEC 27001 та ISO/IEC 27002 для управління конфіденційною інформацією. Вимоги та вказівки";

ДСТУ ISO/IEC 27005:2023 "Інформаційна безпека, кібербезпека та захист конфіденційності. Настанова керування ризиками інформаційної безпеки (ISO/IEC 27005:2022, IDT)";

ДСТУ ISO 19011:2019 Настанови щодо проведення аудитів систем управління (ISO 19011:2018, IDT).

Додаток 3 Документації містить ПЕРЕЛІК ДОКУМЕНТІВ ТА/АБО ІНФОРМАЦІЇ, ЯКІ ПОДАЮТЬСЯ УЧАСНИКОМ ПРОЦЕДУРИ ЗАКУПІВЛІ У СКЛАДІ ТЕНДЕРНОЇ

ПРОПОЗИЦІЇ.

1.

Наявність працівників відповідної кваліфікації, які мають необхідні знання та досвід* Учасник повинен мати щонайменше одного фахівця (працівника, залученого спеціаліста, фізичну особу-підприємця, субпідрядника чи співвиконавця), який залучається для надання послуг за предметом закупівлі та має необхідні знання і досвід у сфері систем управління інформаційною безпекою відповідно до вимог стандарту ISO/IEC 27001.

Фахівець повинен мати документальне підтвердження проходження професійного навчання (підготовки, курсу, тренінгу) у сфері аудиту або впровадження систем управління інформаційною безпекою (ISMS) за стандартом ISO/IEC 27001:2022.

Навчальний курс або тренінг повинен бути сертифікований міжнародними професійними організаціями CQI (Chartered Quality Institute) та IRCA (International Register of Certificated Auditors).

… Документальне підтвердження відповідності вимозі:

1.

Довідка за Формою 1, що містить інформацію про фахівця (працівника, залученого спеціаліста, ФОП, субпідрядника чи співвиконавця), який залучається до виконання предмета закупівлі.

2.

Копія документа, що підтверджує наявність правовідносин між Учасником та фахівцем зазначеним у Довідці за Формою 1 (наказ про прийняття на роботу, витяг із трудової книжки, цивільно-правовий договір, договір про надання послуг з ФОП, договір субпідряду, договір співвиконання тощо).

3.

Копія чинного сертифіката про проходження навчання фахівця зазначеного у Довідці за Формою 1 за програмою "Lead Auditor Training Course – ISMS (ISO/IEC 27001:2022)", виданого акредитованим постачальником курсів, сертифікованим CQI та IRCA (наприклад, Bureau Veritas або іншим офіційно визнаним провайдером), виданого не раніше 2023 року.

Скаржник на розгляд Комісії надав, зокрема:

угоду від 20.11.2025 № про співпрацю із позаштатним фахівцем (файл 1.

Угода.pdf), укладена КАЗИМИР Олена Миколаївна, предметом якої є:

1.1. Предметом цієї угоди є співпраця Сторін у сфері систем управління інформаційною безпекою (надалі СУІБ), в тому числі але не обмежуючись щодо розробки та впровадження системних процесів інформаційної безпеки, документів у межах сфери застосування систем (-и) інформаційної безпеки, проведення навчальних семінарів з питань розробки, впровадження та функціонування СУІБ відповідно до ДСТУ ISO/IEC 27001:2023 (ISO/IEC 27001:2022, IDT), проведення діагностичних аудитів СУІБ вілповідно до ДСТУ ISO/IEC 27001:2023 (ISO/IEC 27001:2022, IDT) Замовників Товариства, в тому числі у відповідності до вимог ДСТУ ISO 19011:2019 (надалі СУІБ);

- сертифікат, виданий ТОВ "Орган сертифікації персоналу Української асоціації якості", у якому, зокрема, зазначено наступне:

Цей документ засвідчує, що КАЗИМИР ОЛЕНА МИКОЛАЇВНА, яка народилася 16.05.1980 у м. Миколаїв, Україна, виконала вимоги до компетентності АУДИТОР СИСТЕМ МЕНЕДЖМЕНТУ ІНФОРМАЦІЙНОЇ БЕЗПЕКИ [ДСТУ ISO/IEC 27001:2023 (ISO/IEC 27001:2022, IDT), ISO/IEC 27001:2022].

Підтвердила знання та навички відповідно до вимог, встановлених в ДП ОСП-18 "Схеми сертифікації персоналу ОСП УАЯ", редакція 5; ДСТУ EN ISO/IEC 17021-1:2017 Додаток А (EN ISO/IEC 17021-1:2015, IDT; ISO/IEC 17021-1:2015, IDT); ДСТУ EN ISO/IEC 27006:2022 Додаток А (EN ISO/IEC 27006:2020, IDT; ISO/IEC 27006:2015, IDT);

сертифікат, виданий ТОВ "Орган сертифікації персоналу Української асоціації якості", у якому, зокрема, зазначено наступне:

Цей документ засвідчує, що КАЗИМИР ОЛЕНА МИКОЛАЇВНА, яка народилася 16.05.1980 у м. Миколаїв, Україна, виконала вимоги до компетентності ГОЛОВНИЙ АУДИТОР СИСТЕМ МЕНЕДЖМЕНТУ ІНФОРМАЦІЙНОЇ БЕЗПЕКИ [ДСТУ ISO/IEC 27001:2023 (ISO/IEC 27001:2022, IDT), ISO/IEC 27001:2022].

Підтвердила знання та навички відповідно до вимог, встановлених в ДП ОСП-18 "Схеми сертифікації персоналу ОСП УАЯ", редакція 5; ДСТУ EN ISO/IEC 17021-1:2017 Додаток А (EN ISO/IEC 17021-1:2015, IDT; ISO/IEC 17021-1:2015, IDT); ISO/IEC 270061:2024 Додаток А. Сертифікат видано на підставі Рішення №49 від 19.11.2025;

атестат про акредитацію НААУ від 02.04.2025 №6О010, відповідно до якого засвідчено компетентність ТОВАРИСТВА З ОБМЕЖЕНОЮ ВІДПОВІДАЛЬНІСТЮ "ОРГАН СЕРТИФІКАЦІЇ ПЕРСОНАЛУ УКРАЇНСЬКОЇ АСОЦІАЦІЇ ЯКОСТІ".

Слід зазначити, що Замовником не надано посилання на нормативно-правові акти, у яких встановлено саме обов'язок надавача послуг, що є предметом закупівлі, мати фахівця зі встановленим у додатку 3 Документації навчанням, також Замовник не зазначає, яким чином ненадання документів, що підтверджують проходження встановленого навчання впливає на можливість надання учасником консультаційних послуг з питань підприємницької діяльності та управління.

Враховуючи наведене, у тому числі, надані Скаржником на розгляд Комісії наведені вище документи, Замовник не обґрунтував необхідність встановлення у Документації наведеної вище вимоги Документації у вказаній редакції.

За таких умов, прийняти участь у процедурі закупівлі зможуть лише ті учасники, які мають зможуть надати документальне підтвердження проходження фахівцем професійного навчання (підготовки, курсу, тренінгу) у сфері аудиту або впровадження систем управління інформаційною безпекою (ISMS) за стандартом ISO/IEC 27001:2022, сертифікованого саме міжнародними професійними організаціями CQI (Chartered Quality Institute) та IRCA (International Register of Certificated Auditors), а також, які нададуть копію чинного сертифіката про проходження навчання фахівця за програмою саме "Lead Auditor Training Course – ISMS (ISO/IEC 27001:2022)", виданого саме акредитованим постачальником курсів, саме сертифікованим CQI та IRCA (наприклад, Bureau Veritas або іншим офіційно визнаним провайдером), що є дискримінаційним по відношенню до інших суб’єктів господарювання, у тому числі, Скаржника.

Згідно з частиною першою статті 5 Закону Закупівлі здійснюються за такими принципами, зокрема, недискримінація учасників та рівне ставлення до них.

Згідно з частиною четвертою статті 5 Закону замовники не мають права встановлювати жодних дискримінаційних вимог до учасників.

Відповідно до абзацу першого пункту 28 Особливостей тендерна документація формується замовником відповідно до вимог статті 22 Закону з урахуванням цих особливостей.

Частиною четвертою статті 22 Закону передбачено, що тендерна документація не повинна містити вимог, що обмежують конкуренцію та призводять до дискримінації учасників, а також вимог щодо документального підтвердження інформації про відповідність вимогам тендерної документації, якщо така інформація є публічною, що оприлюднена у формі відкритих даних згідно із Законом України "Про доступ до публічної інформації" та/або міститься у відкритих єдиних державних реєстрах, доступ до яких є вільним.

Дії Замовника в частині встановлення у Документації наведених вище вимог порушують вимоги статті 5 та частини четвертої статті 22 Закону, якими передбачена недискримінація учасників, а також права та законні інтереси Скаржника, пов'язані з його участю у Процедурі закупівлі, та принципи недискримінація учасників та рівне ставлення до них, передбачені статтею 5 Закону.

Враховуючи вище викладене, Замовник повинен усунути наведені вище невідповідності шляхом внесення відповідних змін до Документації в цій частині.

Враховуючи інформацію, викладену в мотивувальній частині цього рішення, Комісією встановлено, що під час проведення Процедури закупівлі Замовник допустив порушення, які на момент прийняття Комісією цього рішення можна виправити шляхом зобов'язання Замовника внести відповідні зміни до Документації.

Відповідно до пункту 55 Особливостей оскарження відкритих торгів відбувається відповідно до статті 18 Закону з урахуванням цих особливостей.

Відповідно до частини вісімнадцятої статті 18 Закону за результатами розгляду скарги орган оскарження має право прийняти рішення:

1) про встановлення або відсутність порушень процедури закупівлі (у тому числі порушення порядку оприлюднення або неоприлюднення інформації про процедури закупівлі, передбаченої цим Законом);

2) про заходи, що повинні вживатися для їх усунення, зокрема зобов’язати замовника повністю або частково скасувати свої рішення, надати необхідні документи, роз’яснення, усунути будь-які дискримінаційні умови (у тому числі ті, що зазначені в технічній специфікації, яка є складовою частиною Документації), привести тендерну документацію у відповідність із вимогами законодавства або за неможливості виправити допущені порушення відмінити процедуру закупівлі.

Враховуючи викладене, права та законні інтереси Скаржника можуть бути захищені шляхом зобов'язання Замовника внести зміни до Документації з метою усунення порушень, які викладені у мотивувальній частині рішення.

Орган оскарження розглядає скаргу та приймає рішення на її підставі в межах одержаної за скаргою інформації та інформації, розміщеної в електронній системі закупівель, виходячи з положень частини шістнадцятої статті 18 Закону.

Наведені вище обставини свідчать про наявність підстав для задоволення Скарги частково.

Враховуючи викладене, керуючись статтею 18 Закону України "Про публічні закупівлі" та Постановою Кабінету Міністрів України від 12.10.2022 № 1178 "Про затвердження особливостей здійснення публічних закупівель товарів, робіт і послуг для замовників, передбачених Законом України "Про публічні закупівлі", на період дії правового режиму воєнного стану в Україні та протягом 90 днів з дня його припинення або скасування", Комісія Антимонопольного комітету України з розгляду скарг про порушення законодавства у сфері публічних закупівель

ПОСТАНОВИЛА:

Зобов'язати КОМУНАЛЬНЕ НЕКОМЕРЦІЙНЕ ПІДПРИЄМСТВО "ТРЕТЯ ЧЕРКАСЬКА МІСЬКА ЛІКАРНЯ ШВИДКОЇ МЕДИЧНОЇ ДОПОМОГИ" (код ЄДРПОУ:

05503705) внести зміни до тендерної документації за процедурою закупівлі "Консультаційні послуги щодо створення та впровадження системи управління інформаційною безпекою відповідно до вимог ДСТУ ISO/IEC 27001:2023 "Інформаційна безпека, кібербезпека та захист конфіденційності. Системи керування інформаційною безпекою. Вимоги (ISO/IEC 27001:2022, IDT)", оголошення про проведення якої оприлюднене на веб-порталі Уповноваженого органу за № UA-2025-11-17-003756-a, з метою усунення порушень, зазначених у мотивувальній частині цього рішення.

Рішення може бути оскаржене до суду у встановлений Законом строк.

Голова Комісії Ганна ГОРНОСТАЛЬ Члени Комісії Діана ГОСТЄВА Наталя ЛЕНЬ

Скарга

Скарга на умови ТД