код ДК 021:2015: 72410000-7 – Послуги провайдерів (Послуги з надання доступу до мережі Інтернет через захищений вузол інтернет доступу)

Текст рішення

РІШЕННЯ

№ 19133-р/пк-пз від 26.12.2025

Комісія Антимонопольного комітету України з розгляду скарг про порушення законодавства у сфері публічних закупівель (надалі – Комісія), розглянувши скаргу товариства з обмеженою відповідальністю "УКРТЕЛЕ-СЕРВІС" (код ЄДРПОУ: 40214159) від 16 грудня 2025 № UA-2025-12-11-009368-a.c1 (надалі – Скарга) щодо порушення Замовником порядку проведення Процедури закупівлі,

ВСТАНОВИЛА:

Надалі за текстом вказаного рішення терміни та визначення:

- Закон України "Про публічні закупівлі" – Закон;

- Особливості здійснення публічних закупівель товарів, робіт і послуг для замовників, передбачених Законом України "Про публічні закупівлі", на період дії правового режиму воєнного стану в Україні та протягом 90 днів з дня його припинення або скасування, затверджені Постановою Кабінету Міністрів України від 12.10.2022 № 1178 "Про затвердження особливостей здійснення публічних закупівель товарів, робіт і послуг для замовників, передбачених Законом України "Про публічні закупівлі", на період дії правового режиму воєнного стану в Україні та протягом 90 днів з дня його припинення або скасування" – Особливості;

- тендерна документація – Документація;

- тендерна пропозиція – Пропозиція.

Скаржник повідомляє про порушення Замовником порядку проведення Процедури закупівлі та просить, зокрема, зобов'язати Замовника внести зміни до Документації.

Рішенням Комісії від 18.12.2025 № 18663-р/пк-пз Скарга була прийнята до розгляду та зобов’язано Замовника надати пояснення по суті Скарги.

Замовник шляхом завантаження на веб-портал Уповноваженого органу надав пояснення по суті Скарги.

Розглянувши Скаргу та інформацію, одержану за Скаргою, та інформацію, розміщену в електронній системі закупівель, встановлено наступне.

1. Скаржник зазначає, що відповідно до пункту 4.3 додатку 1 Документації, відповідно до якого учасник процедури Закупівлі на підтвердження інформації про технічні, якісні та кількісні характеристики предмета закупівлі має надати Копію документу /інформацію про внесення учасника до переліку операторів НСКЗ.

Така ж вимога міститься в додатку 2 Документації: "Виконавець повинен мати право надавати послуги конфіденційного зв'язку та/або захищеного доступу до мережі Інтернет, на підтвердження чого Учасником надається Копія документу /інформація про внесення учасника до переліку операторів НСКЗ".

Створення, функціонування, розвиток та використання Національної системи конфіденційного зв’язку регулюються Законом України "Про Національну систему конфіденційного зв’язку". На виконання статті 7 цього Закону, постановою Кабінету Міністрів України від 11 жовтня 2002 року №1519 затверджено Порядок надання послуг конфіденційного зв’язку органам державної влади та органам місцевого самоврядування, державним підприємствам, установам, організаціям.

Відповідно до Положення про структуру Національної системи конфіденційного зв’язку та умови її використання для забезпечення безпеки обміну інформацією затвердженого постановою Кабінету Міністрів України від 14 травня 2015 року №303, створення та забезпечення функціонування спеціальних систем здійснюється зокрема для забезпечення захищеного доступу суб’єктів Національної системи конфіденційного зв’язку до Інтернету (пп. 5 п. 5).

При цьому, згідно з Порядком надання послуг конфіденційного зв’язку органам державної влади та органам місцевого самоврядування, державним підприємствам, установам, організаціям захищений доступ до Інтернету – забезпечення можливості з’єднання кінцевого обладнання абонента з Інтернетом з використанням НСКЗ.

Ні Документація, ні Проект договору не містять вимог щодо надання послуг саме захищеного доступу до Інтернету з використанням НСКЗ.

Предметом Закупівлі є послуги зі звичайного доступу до мережі Інтернет. У зв’язку з цим встановлення цієї вимоги є необґрунтованими, оскільки звужує коло потенційних учасників процедури Закупівлі, що обмежує конкуренцію та може призвести до закупівлі послуг за завищеними цінами.

Хоча цього року Замовник і змінив назву предмета закупівлі – з "72410000-7 – Послуги провайдерів (Послуги з надання доступу до мережі Інтернет)" на 72410000-7 – "Послуги провайдерів (Послуги з надання доступу до мережі Інтернет через захищений вузол інтернет доступу)", проте закуповується та сама послуга з доступу до мережі Інтернет.

І технічне завдання і проєкт договору є практично ідентичними до минулорічних технічного завдання та проєкту договору.

Ніде в тендерній документації немає будь-якої згадки про те, що послуги будуть надаватись відповідно до Закону України "Про Національну систему конфіденційного зв’язку" чи постанови Кабінету Міністрів України від 11 жовтня 2002 року №1519 "Про затвердження Порядку надання послуг конфіденційного зв’язку органам державної влади та органам місцевого самоврядування, державним підприємствам, установам, організаціям", чи відповідно до Положення про структуру Національної системи конфіденційного зв’язку та умови її використання для забезпечення безпеки обміну інформацією затвердженого постановою Кабінету Міністрів України від 14 травня 2015 року №303.

Таким чином додавання в назві предмета закупівлі тексту "через захищений вузол інтернет доступу" жодним чином не впливає на предмет закупівлі, а було здійснено виключно з метою зменшення кількості потенційних учасників та для забезпечення перемоги, необхідного Замовнику учасника.

Будь-яких об’єктивних підстав для висунення таких, не пов’язаних з предметом Закупівлі вимог, не існує. У зв’язку з цим такі вимоги тендерної документації є дискримінаційними по відношенню до учасників – суб’єктів господарювання, які надають послуги доступу до мережі Інтернет, зокрема Скаржника.

Замовник зазначає, що відповідно до Розпорядження Київської міської військової адміністрації №306 від 31.03.2025 Комунальне некомерційне підприємство "Консультативно - діагностичний центр" Голосіївського району м. Києва визначено критично важливим для функціонування економіки та забезпечення життєдіяльності населення територіальної громади міста Києва в особливий період.

Медичні працівники Замовника та інші особи, яким у зв’язку з виконанням професійних або службових обов’язків стало відомо про хворобу, медичне обстеження, огляд та їх результати, інтимну і сімейну сторони життя громадянина, не мають право розголошувати ці відомості, крім передбачених законодавством України випадків.

Замовник у процесі діяльності забезпечує анонімність пацієнта під час використання інформації, що становить лікарську таємницю. Замовник здійснює обробку персональних даних для конкретних і законних цілей, визначених за однозначною згодою суб’єктом персональних даних, або у випадках, передбачених законами України, та в порядку, встановленому законодавством України. У процесі діяльності Замовник здійснює обмін даними, що містять інформацію про стан здоров’я громадян, що відповідно до Постанова Верховного Суду від 29 червня 2022 року справі № 205/9115/19 та Закону України "Про захист персональних даних" є конфіденційною інформацією.

Враховуючи військову агресію російської федерації проти України, що стало підставою введення воєнного стану з 24.02.2022 р., відповідно до Указу Президента України від 24.02.2022 р. №64/2022 "Про введення воєнного стану в Україні" існує постійна загроза кібербезпеці пов'язаних із наслідками здійснених останнім часом масованих кібератак на державні електронні інформаційні ресурси та об'єкти критичної інфраструктури. Замовник повинен мати постійний інтернет зв’язок з іншими державними органами і відповідно необхідно мати підключення до інтернет провайдера, що відповідає критеріям захисту інформації та може, за необхідності, надати послуги конфіденційного зв’язку. Для цього провайдер повинен бути включений до Переліку операторів Національної системи конфіденційного зв’язку (НСКЗ), які мають право надавати послуги конфіденційного зв’язку та/або захищеного доступу до мережі Інтернет.

У зв’язку з чим, відповідно до Додатку 1 до умов Закупівлі, необхідною умовою участі в Закупівлі є відповідність системи захисту інформації Виконавця встановленим до неї вимогам у сфері технічного захисту інформації, що встановлена на підставі абзацу б) підпункту 5 пункту 1 рішення Ради національної безпеки і оборони України від 10 липня 2017 року "Про стан виконання рішення Ради національної безпеки і оборони України від 29 грудня 2016 року "Про загрози кібербезпеці держави та невідкладні заходи з їх нейтралізації", веденого в дію Указом Президента України від 13 лютого 2017 року № 32", веденого в дію Указом Президента України від 30 серпня 2017 року № 254/2017.

Крім того, Додатком 2 до умов Закупівлі передбачена необхідна умова щодо включення Виконавця до переліку операторів телекомунікацій, які мають право надавати послуги конфіденційного зв’язку та/або захищеного доступу до мережі Інтернет на підставі підпункту 7 пункту 14 Положення про структуру Національної системи конфіденційного зв’язку та умови її використання для забезпечення безпеки обміну інформацією, затвердженого постановою Кабінету Міністрів України від 14 травня 2015 року № 303, Порядку прийняття рішень щодо визначення операторів інформаційно-телекомунікаційних систем (мереж) Національної системи конфіденційного зв’язку, затвердженого наказом Адміністрації Державної служби спеціального зв’язку та захисту інформації України 23.05.2016 № 346 (у редакції наказу Адміністрації Державної служби спеціального зв’язку та захисту інформації України від 19 грудня 2018 року № 766), зареєстрованим в Міністерстві юстиції України 05 серпня 2016 р. за № 1097/29227.

Так, відповідно до вимог Закону України "Про Національну систему конфіденційного зв’язку", Національна система конфіденційного зв'язку - сукупність спеціальних телекомунікаційних систем (мереж) подвійного призначення, які за допомогою криптографічних та/або технічних засобів забезпечують обмін інформацією з обмеженим доступом, крім інформації, що становить державну таємницю в інтересах органів державної влади та органів місцевого самоврядування, створюють належні умови для їх взаємодії в мирний час та у разі введення надзвичайного і воєнного стану.

Згідно з вимогами статті 5 Закону про НСКЗ, структура побудови Національної системи конфіденційного зв'язку повинна забезпечувати відокремлення інформації з обмеженим доступом, крім інформації, що становить державну таємницю, органів державної влади та органів місцевого самоврядування, інших юридичних та фізичних осіб з використанням криптографічних та/або технічних засобів.

Згідно з Порядком надання послуг конфіденційного зв'язку органам державної влади та органам місцевого самоврядування, державним підприємствам, установам та організаціям, затвердженим постановою Кабінету Міністрів України від 11 жовтня 2002 р.

№ 1519 (у редакції постанови Кабінету Міністрів України від 29 квітня 2013 р. № 328), захищений доступ до Інтернету це забезпечення можливості з’єднання кінцевого обладнання абонента з Інтернетом з використанням НСКЗ.

Згідно з Порядком прийняття рішень щодо визначення операторів інформаційнотелекомунікаційних систем (мереж) Національної системи конфіденційного зв’язку, затвердженим наказом Адміністрації Державної служби спеціального зв’язку та захисту інформації України від 23.05.2016 року № 346 (у редакції наказу Адміністрації Державної служби спеціального зв’язку та захисту інформації України від 19 грудня 2018 року № 766), зареєстрованим в Міністерстві юстиції України 05 серпня 2016 р. за № 1097/29227, оператори НСКЗ це оператори телекомунікацій, внесені до Переліку операторів НСКЗ, які з використанням ресурсу власних електронних комунікаційних мереж, електронної комунікаційної мережі загального користування, Національної телекомунікаційної мережі можуть надавати послуги конфіденційного зв’язку та/або послуги захищеного доступу до мережі Інтернет органам державної влади, органам місцевого самоврядування, державним підприємствам, установам, організаціям, іншим юридичним та фізичним особам на платній основі.

Оператор набуває право провадити діяльність з надання послуг конфіденційного зв’язку та/або послуг захищеного доступу до мережі Інтернет відповідно до зазначеного (зазначених) в Переліку операторів НСКЗ виду (видів) послуг з дати прийняття Адміністрацією Державної служби спеціального зв’язку та захисту інформації України рішення про включення (внесення змін) до Переліку операторів НСКЗ.

Заява оператора на включення до Переліку операторів НСКЗ залишається без розгляду, і він не може надавати послуги з НСКЗ, якщо:

1) оператор телекомунікацій не побудував комплексної системи захисту інформації з підтвердженою відповідністю згідно з вимогами статті 8 Закону України "Про захист інформації в інформаційно-телекомунікаційних системах": на централізовану систему захисту інформації та оперативно-технічного управління у разі надання послуг конфіденційного зв’язку; на захищений вузол Інтернет-доступу у разі надання послуг захищеного доступу до мережі Інтернет;

2) структура побудови мереж (систем) оператора телекомунікацій не відповідає вимогам статті 5 Закону України "Про Національну систему конфіденційного зв’язку";

3) в оператора телекомунікацій немає ліцензії з надання послуг у галузі криптографічного захисту інформації (крім послуг електронного цифрового підпису) та технічного захисту інформації за переліком, що визначається Кабінетом Міністрів України;

4) оператор телекомунікацій провадить свою діяльність на ринку телекомунікацій менше ніж п’ять років.

При підготовці до проведення закупівлі була досліджена інформація з відкритих джерел, проведено аналіз суб’єктів господарювання, які надають послуги з доступу до мережі інтернет через захищений вузол інтернет доступу, та встановлено, що наявна достатня кількість провайдерів, які відповідатимуть вимогам. Так зокрема було встановлено, що Оператори та провайдери телекомунікаційних послуг, які будують чи побудували свої оптичні лінії зв’язку відповідно до вимог, зазначених у п. 4.3 Додатку 1 та Додатку 2 Документації, а саме згідно з вимогами при наданні послуг у галузі криптографічного захисту інформації (крім послуг електронного цифрового підпису) та послуг конфіденційного зв’язку та/або захищеного доступу до мережі Інтернет, встановлюють більш сучасне обладнання, їм необхідно виконувати на своїх лініях зв’язку відповідні організаційні заходи та налаштування для можливості підтримки вищевказаних сервісів. Відповідно до інформації щодо переліку суб’єктів господарювання, які мають право надавати послуги конфіденційного зв'язку та/або захищеного доступу до мережі Інтернет, за переліком, що визначається Кабінетом Міністрів України, розміщено на офіційному веб-сайті ДССЗЗІ: https://cip.gov.ua/ua/news/licensees. Серед них кількість операторів та провайдерів телекомунікаційних послуг, які побудували свої оптичні лінії зв’язку для можливості надання якісних послуг, у тому числі з можливістю надання послуг у галузі криптографічного захисту інформації (крім послуг електронного цифрового підпису), нараховується 17 операторів телекомунікацій, зокрема це: ПрАТ "ДАТАГРУП";

АТ "УКРТЕЛЕКОМ"; ДП "Українські спеціальні системи"; ТОВ "УКРКОМ"; ТОВ "ГІГАТРАНС Україна"; ТОВ "ВАНКОМ"; ТОВ "ДОЛЯ І КО. ЛТД"; Спільне українськонімецьке підприємство в формі товариства з обмеженою відповідальністю "ІНФОКОМ";

ТОВ "ІМК"; ТОВ "КОСМОНОВА"; ТОВ "ВЕБ ПРО"; ТОВ "СТАРГРУП"; ТОВ "Універсальна Мережева Компанія"; ТОВ "ОРІОН-СІТІ"; ТОВ "Науково-промислова компанія "ХОУМ-НЕТ"; ПрАТ "КИЇВСТАР"; ТОВ "АДАМАНТ". Враховуючи все вищезазначене, вимога, зазначена у п. 4.3 Додатку 1 та Додатку 2 Документації, не вважаються такою, що обмежує конкуренцію та призводить до дискримінації учасників.

Крім того, замовник має право отримувати послуги з якістю на рівні вказаних ним вимог.

Вимоги Документації та перелік документів, якими учасник повинен підтвердити свою відповідність таким вимогам, були визначені замовником виходячи зі специфіки його діяльності та специфіки предмета закупівлі з дотриманням вимог Закону та законодавства в цілому. Вимоги Документації та перелік документів, якими учасник повинен підтвердити свою відповідність таким вимогам, визначаються замовником виходячи зі специфіки предмета закупівлі з дотриманням вимог Закону та законодавства в цілому.

У ході розгляду зазначеного питання встановлено наступне.

Відповідно до пункту 4.1 розділу 1 Документації назва предмета закупівлі: код ДК 021:2015: 72410000-7 – Послуги провайдерів (Послуги з надання доступу до мережі Інтернет через захищений вузол інтернет доступу).

Додаток 1 Документації містить перелік документів та/або інформації, які подаються Учасником процедури закупівлі у складі тендерної пропозиції 4. Перелік документів та/або інформації на підтвердження інформації про технічні, якісні та кількісні характеристики предмета закупівлі:

4.3. Копія документу /інформація про внесення учасника до переліку операторів

НСКЗ.

Додаток 2 Документації містить технічне завдання.

Учасник повинен надати Замовнику послуги з доступу до мережі INTERNET, а також забезпечити цілодобове управління та моніторинг послуг, відповідно вимог нормативних документів системи технічного захисту інформації в Україні.

Місце надання послуг:

1.

м. Київ, Голосіївський район, проспект Голосіївський, 59-А - 1000 Мбіт/с до світових ресурсів та 1000 Мбіт/с до українських ресурсів 2.

м. Київ, вул. Голосіївська, 53 - 1000 Мбіт/с до світових ресурсів та 1000 Мбіт/с до українських ресурсів 3.

м. Київ, вул. Велика Васильківська, 104 - 1000 Мбіт/с до світових ресурсів та 1000 Мбіт/с до українських ресурсів 4.

м. Київ, Героїв Маріуполя, 6 - 1000 Мбіт/с до світових ресурсів та 1000 Мбіт/с до українських ресурсів 5.

м. Київ, вул. Набережно-Корчуватська, б. 56/66-1000 Мбіт/с до світових ресурсів та 1000 Мбіт/с до українських ресурсів Виконавець повинен мати право надавати послуги конфіденційного зв'язку та/або захищеного доступу до мережі Інтернет, на підтвердження чого Учасником надається Копія документу /інформація про внесення учасника до переліку операторів НСКЗ.

Під час надання послуг передбачається використання існуючої волоконно-оптичної лінії зв’язку (ВОЛЗ) Виконавця, та комутаційного обладнання, яке встановлюється за місцем надання послуг. Виконавець повинен надати Замовнику для використання 1 зовнішню IP-адресу на кожний об’єкт підключення. Налагодження каналу по ВОЛЗ здійснюється Виконавцем. При організації з’єднання з фахівцями Замовника узгоджуються необхідні параметри та надання в користування блок IP-адрес.

Додаток 3 Документації містить проєкт договору, відповідно до якого передбачено, зокрема:

1.1. Виконавець зобов’язується у 2026 році надавати Замовнику Послуги з надання доступу до мережі Інтернет через захищений вузол інтернет доступу, згідно ДК 021:2015 72410000-7 Послуги провайдерів (далі – Послуги), а Замовник зобов’язується своєчасно оплачувати отримані Послуги відповідно до вимог цього Договору і Умов та порядку надання послуг.

ПОРЯДОК надання послуг конфіденційного зв'язку органам державної влади та органам місцевого самоврядування, державним підприємствам, установам та організаціям, затверджений постановою Кабінету Міністрів України від 11 жовтня 2002 р. № 1519 передбачає, зокрема:

1. Цей Порядок визначає механізм та умови надання операторами електронних комунікацій (далі - оператори) послуг конфіденційного зв’язку органам державної влади та органам місцевого самоврядування, державним підприємствам, установам, організаціям в Національній системі конфіденційного зв’язку (далі - НСКЗ).

2. Терміни, що вживаються у цьому Порядку, мають таке значення:

абонент - споживач послуг конфіденційного зв’язку, що користується послугами конфіденційного зв’язку на умовах договору, який передбачає підключення кінцевого обладнання до НСКЗ;

захищений доступ до Інтернету - забезпечення можливості з’єднання кінцевого обладнання абонента з Інтернетом з використанням НСКЗ;

кінцеве обладнання - обладнання, призначене для з’єднання з НСКЗ з метою забезпечення доступу до послуг конфіденційного зв’язку;

споживач послуг конфіденційного зв’язку (далі - споживач) - орган державної влади, орган місцевого самоврядування, державне підприємство, установа, організація, які потребують, замовляють та/або отримують послуги конфіденційного зв’язку для власних потреб.

Враховуючи наведене, зокрема, що предметом закупівлі є послуги з надання доступу до мережі Інтернет саме через захищений вузол інтернет доступу, Скаржник не довів та документально не підтвердив необхідність внесення змін до Документації в цій частині, а також документально не підтвердив неможливість виконання вказаної умови Документації та не довів, яким чином наведена вище умова Документації порушує права та законні інтереси Скаржника пов’язані з участю у Процедурі закупівлі, у зв'язку з чим відсутні підстави для задоволення Скарги в цій частині.

2. Скаржник зазначає, що відповідно до пункту 4.7 додатку 1 Документації, учасник процедури Закупівлі на підтвердження інформації про технічні, якісні та кількісні характеристики предмета закупівлі має надати: Копії чинних сертифікатів відповідності вимогам міжнародного стандарту ISO 27001:2013 або ISO 27001:2022 "Інформаційні технологій. Методи захисту. Системи менеджменту інформаційної безпеки. Вимоги".

Така ж вимога міститься в додатку 2 Документації.

Міжнародний стандарт ISO 27001 містить вимоги щодо створення, впровадження, підтримки та постійного вдосконалення системи управління інформаційною безпекою.

Система управління інформаційною безпекою зберігає конфіденційність, цілісність і доступність інформації, застосовуючи процес управління ризиками, і дає зацікавленим сторонам впевненість у належному управлінні ризиками. ISO 27001 підтверджує систему управління інформаційною безпекою суб’єкта господарювання, але не має жодного відношення до надання послуги передачі даних або доступу до мережі Інтернет, де провайдер не обробляє інформацію Замовника.

Вимога сертифікації ISO 27001 не має об’єктивного зв’язку з предметом закупівлі, не є необхідною для надання послуги доступу до мережі Інтернет та створює надмірне і необґрунтоване обмеження конкуренції.

Постачальник послуг доступу до мережі Інтернет не обробляє будь-якої інформації, яка є чутливою для Замовника.

Забезпечення відповідності міжнародному стандарту ISO/IEC 27001 постановою Кабінету Міністрів України від 11.02.2025 №154 передбачено лише для надавачів хмарних послуг та/або послуг центру обробки даних, а не для послуг доступу до мережі Інтернет.

Забезпечення безпеки інформації в мережі Інтернет забезпечується в першу чергу технічними засобами, зокрема такими як побудова відповідних комплексних систем захисту інформації, а не управлінських, дотримання яких підтверджується сертифікатом ISO.

Щодо стандарту ISO 27001:2013, то це друге видання стандарту, яке було скасоване та замінене третім виданням – ISO 27001:2022.

Вимога про надання підтвердження відповідності скасованому виданню сама по собі є незаконною, оскільки на цей час неможливо отримати сертифікацію по цьому стандарту.

Скаржник зазначає, що має розроблену комплексну систему захисту інформації інформаційно-телекомунікаційної системи захищеного вузла інтернет-доступу, що підтверджується Атестатом відповідності Системи технічного захисту інформації та Експертним висновком, відповідно до якого ця комплексна система захисту інформації відповідає вимогам нормативних документів системи технічного захисту інформації в Україні.

Наявність атестованої КСЗІ підтверджує, що ТОВ "УКРТЕЛЕ-СЕРВІС" здатне забезпечити найвищий рівень технічного захисту інформації серед провайдерів, а тому вимоги Замовника щодо НСКЗ або ISO 27001 не лише є дискримінаційними, але й не можуть бути обгрунтовані інтересами захисту інформації.

Тому встановлені Замовником вимоги не лише не мають правового зв’язку з предметом закупівлі, але й створюють штучні та дискримінаційні бар’єри для учасників, які вже забезпечують відповідність державним стандартам ТЗІ.

Замовник зазначає, що ISO/IEC 27001 "Системи менеджменту інформаційної безпеки. Вимоги" входить в сімейство стандартів ISO/IEC серії 27000 і належить до Міжнародної організації зі стандартизації (ISO) і Міжнародної електротехнічної комісії (IEC). Це міжнародний стандарт, який встановлює вимоги до створення, впровадження, підтримки та вдосконалення Системи менеджменту інформаційної безпеки (далі по тексту "СМІБ") в контексті організації, а також до постійної оцінки інформаційних ризиків і ризикменеджменту.

В результаті проходження процедури сертифікації СМІБ за стандартом ISO/IEC 27001, організація підтверджує, що вона проявляє належну обачність і забезпечує конфіденційність, цілісність і безпечний доступ до своїх інформаційних активів, керуючись при цьому кращими світовими практиками.

Системи менеджменту інформаційної безпеки актуальна надавачам послуг для об'єктів критичної інфраструктури (енергетика, вода, охорона здоров'я, харчування, транспорт і рух, інформаційні технології та телекомунікації), банків, фінансових організацій, страхових та будь-яких інших компаній (приватних та державних), що бажають захистити інформаційний ресурс, від якого залежить репутація організації та стабільність її діяльності. Захист інформації - один з ключових пріоритетів, якщо у бізнес-процесах присутня інформація, що потребує захисту. Надавач послуг відповідає за організацію діяльності (систему менеджменту), і в основній мірі - за інформаційну безпеку. Головне завдання інформаційної безпеки - встановити можливі загрози для інформації (конфіденційності, цілісності, доступності), визначити вибір методів, які забезпечать захист даних та повний контроль за інформаційними ресурсами. Вимоги щодо побудови системи управління інформаційною безпекою визначає державний стандарт ДСТУ ISO/IEC 27001, ідентичний провідному міжнародному стандарту для впровадження цілісної системи управління інформаційною безпекою ISO/IEC 27001, що зосереджений на ідентифікації, оцінці та управлінні ризиками для процесів обробки інформації.

Впровадження системи управління інформаційною безпекою за стандартом ISO/IEC 27001 надає наступні можливості:

1.

Зменшення ризиків, пов'язаних зі зростанням кількості кібератак;

2.

Оперативна реакція на зміни в ризиках безпеки;

3.

Захист ключових активів, таких як фінансова звітність, інтелектуальна власність, персональні дані співробітників і інформація, передана третім особам, забезпечуючи їх цілісність, конфіденційність і доступність за потреби;

4.

Централізоване управління захистом інформації, сконцентрованої в одному місці;

5.

Підготовку персоналу, оптимізацію процесів і технологій для протистояння технологічним загрозам і іншим небезпекам;

6.

Охорону інформації у різних формах, включаючи паперові, хмарні і цифрові дані;

Система управління інформаційною безпекою, відповідно до ISO 27001, забезпечує, що всі дані обробляються точно і що доступ до інформації мають лише авторизовані особи.

Це включає застосування суворих процедур ідентифікації та аутентифікації. Всі процеси в рамках ISO 27001 базуються на перевірених та визнаних галузевих практиках. Він встановлює вимоги до впровадження контролів безпеки, пристосованих до потреб окремих організацій або їх підрозділів. Незалежна оцінка і верифікація цих практик з боку сертифікуючого органу підтверджує їх ефективність і актуальність.

Щодо зауважень Скаржника стосовно того, що ISO 27001 підтверджує систему управління інформаційною безпекою суб’єкта господарювання, але не має жодного відношення до надання послуги передачі даних або доступу до мережі Інтернет, де провайдер не обробляє інформацію Замовника - це питання обумовлюється видами діяльності на самому сертифікаті, види діяльності (КВЕД) та їх опис можна знайти в класифікаторі КВЕДів.

У ході розгляду зазначеного питання встановлено наступне.

Відповідно до пункту 4.1 розділу 1 Документації назва предмета закупівлі: код ДК 021:2015: 72410000-7 – Послуги провайдерів (Послуги з надання доступу до мережі Інтернет через захищений вузол інтернет доступу).

Додаток 1 Документації містить перелік документів та/або інформації, які подаються Учасником процедури закупівлі у складі тендерної пропозиції 4. Перелік документів та/або інформації на підтвердження інформації про технічні, якісні та кількісні характеристики предмета закупівлі:

4.7. Копії чинних сертифікатів відповідності вимогам міжнародного стандарту ISO 27001:2013 або ISO 27001:2022 "Інформаційні технологій. Методи захисту. Системи менеджменту інформаційної безпеки. Вимоги". Орган оцінки відповідності (специфікації), який видав сертифікат, повинен бути акредитований відповідно до законодавства у сфері акредитації або призначений відповідно до законодавства про технічні регламенти та оцінки відповідності. Або бути іноземним органом з оцінки відповідності, акредитованим відповідно іноземними органами з акредитації, що є підписантами багатосторонньої угоди про визнання Міжнародного форуму з акредитації та/або Європейської кооперації з акредитації (EA MLA).

Додаток 2 Документації містить технічне завдання.

Учасник у складі своєї пропозиції повинен надати Замовнику копії чинних сертифікатів відповідності вимогам міжнародного стандарту ISO 27001:2013 або ISO 27001:2022 "Інформаційні технологій. Методи захисту. Системи менеджменту інформаційної безпеки. Вимоги". Орган оцінки відповідності (специфікації), який видав сертифікат, повинен бути акредитований відповідно до законодавства у сфері акредитації або призначений відповідно до законодавства про технічні регламенти та оцінки відповідності. Або бути іноземним органом з оцінки відповідності, акредитованим відповідно іноземними органами з акредитації, що є підписантами багатосторонньої угоди про визнання Міжнародного форуму з акредитації та/або Європейської кооперації з акредитації (EA MLA).

Відповідно до наказу Державного підприємства "Український науково-дослідний і навчальний центр проблем стандартизації, сертифікації та якості" від 28.12.2022 № 285 "Про пакетне прийняття європейських нормативних документів CEN/CENELEC" зазначено, зокрема:

1. Прийняти 20268 європейських нормативних документів CEN/CENELEC як національні нормативні документи методом підтвердження (згідно з додатком), з наданням чинності з 31 грудня 2023 року.

Відповідно до додатку зазначено, зокрема:

283 ДСТУ EN ISO/IEC 27001:2022 (EN ISO/IEC 27001:2017, IDT; ISO/IEC 27001:2013 including Cor 1:2014 and Cor 2:2015, IDT) Інформаційні технології. Методи захисту. Системи управління інформаційною безпекою. Вимоги — Вперше.

Також відповідно до наказу Державного підприємства "Український науководослідний і навчальний центр проблем стандартизації, сертифікації та якості" від 17.08.2023 № 210 "Про прийняття національних стандартів, зміни до національного стандарту та скасування національних стандартів" зазначено, зокрема:

1. Прийняти національні стандарти, гармонізовані з міжнародними стандартами, методом підтвердження з наданням чинності з 22 серпня 2023 року:

15. ДСТУ ISO/IEC 27001:2023 (ISO/IEC 27001:2022, IDT) Інформаційна безпека, кібербезпека та захист конфіденційності. Системи керування інформаційною безпекою.

Вимоги - На заміну ДСТУ ISO/IEC 27001:2015 (ISO/IEC 27001:2013; Cor 1:2014, IDT);

ДСТУ ISO/IEC 27001:2015 (ISO/IEC 27001:2013; Cor 1:2014, IDT)/ Поправка № 2:2019 (ISO/IEC 27001:2013/Cor 2:2015, IDT).

Замовник не обґрунтував необхідність встановлення у Документації наведеної вище вимоги Документації у вказаній редакції.

Виходячи з наведеного, взяти участь у Процедурі закупівлі зможуть суб’єкти господарювання, які зможуть надати сертифікат відповідності вимогам саме міжнародного стандарту ISO 27001:2013 або ISO 27001:2022 "Інформаційні технологій. Методи захисту.

Системи менеджменту інформаційної безпеки. Вимоги", що є дискримінаційним по відношенню до інших суб’єктів господарювання, у тому числі, Скаржника.

Частиною першою статті 5 Закону визначено, що закупівлі здійснюються, зокрема, за принципом недискримінації учасників, відкритості та прозорості на всіх стадіях закупівель.

Згідно з частиною четвертою статті 5 Закону замовники не мають права встановлювати жодних дискримінаційних вимог до учасників.

Відповідно до абзацу першого пункту 28 Особливостей тендерна документація формується замовником відповідно до вимог статті 22 Закону з урахуванням цих особливостей.

Частиною четвертою статті 22 Закону передбачено, що тендерна документація не повинна містити вимог, що обмежують конкуренцію та призводять до дискримінації учасників, а також вимог щодо документального підтвердження інформації про відповідність вимогам тендерної документації, якщо така інформація є публічною, що оприлюднена у формі відкритих даних згідно із Законом України "Про доступ до публічної інформації" та/або міститься у відкритих єдиних державних реєстрах, доступ до яких є вільним.

Дії Замовника в частині встановлення у Документації наведених вище вимог порушують вимоги частини четвертої статті 5 та частини четвертої статті 22 Закону, якими передбачена недискримінація учасників, а також права та законні інтереси Скаржника, пов'язані з його участю у Процедурі закупівлі, та принципи недискримінації учасників, відкритості та прозорості на всіх стадіях закупівель, передбачені частиною першою статті 5 Закону.

Враховуючи вище викладене, Замовник повинен усунути наведені вище невідповідності шляхом внесення відповідних змін до Документації в цій частині.

Разом з тим, враховуючи інформацію, викладену в мотивувальній частині цього рішення, Комісією встановлено, що під час проведення Процедури закупівлі Замовник допустив порушення, які на момент прийняття Комісією цього рішення можна виправити шляхом зобов'язання Замовника внести відповідні зміни до Документації.

Відповідно до пункту 55 Особливостей оскарження відкритих торгів відбувається відповідно до статті 18 Закону з урахуванням цих особливостей.

Відповідно до частини вісімнадцятої статті 18 Закону за результатами розгляду скарги орган оскарження має право прийняти рішення:

1) про встановлення або відсутність порушень процедури закупівлі (у тому числі порушення порядку оприлюднення або неоприлюднення інформації про процедури закупівлі, передбаченої цим Законом);

2) про заходи, що повинні вживатися для їх усунення, зокрема зобов’язати замовника повністю або частково скасувати свої рішення, надати необхідні документи, роз’яснення, усунути будь-які дискримінаційні умови (у тому числі ті, що зазначені в технічній специфікації, яка є складовою частиною Документації), привести тендерну документацію у відповідність із вимогами законодавства або за неможливості виправити допущені порушення відмінити процедуру закупівлі.

Враховуючи викладене, права та законні інтереси Скаржника можуть бути захищені шляхом зобов'язання Замовника внести зміни до Документації з метою усунення порушень, які викладені у мотивувальній частині рішення.

Орган оскарження розглядає скаргу та приймає рішення на її підставі в межах одержаної за скаргою інформації та інформації, розміщеної в електронній системі закупівель, виходячи з положень частини шістнадцятої статті 18 Закону.

Наведені вище обставини свідчать про наявність підстав для задоволення Скарги частково.

Враховуючи викладене, керуючись статтею 18 Закону України "Про публічні закупівлі" та Постановою Кабінету Міністрів України від 12.10.2022 № 1178 "Про затвердження особливостей здійснення публічних закупівель товарів, робіт і послуг для замовників, передбачених Законом України "Про публічні закупівлі", на період дії правового режиму воєнного стану в Україні та протягом 90 днів з дня його припинення або скасування", Комісія Антимонопольного комітету України з розгляду скарг про порушення законодавства у сфері публічних закупівель

ПОСТАНОВИЛА:

Зобов'язати комунальне некомерційне підприємство "Консультативно діагностичний центр" Голосіївського району м. Києва (код ЄДРПОУ: 25695724) внести зміни до тендерної документації за процедурою закупівлі - "код ДК 021:2015: 72410000-7 – Послуги провайдерів (Послуги з надання доступу до мережі Інтернет через захищений вузол інтернет доступу)", оголошення про проведення якої оприлюднене на веб-порталі Уповноваженого органу за № UA-2025-12-11-009368-a, з метою усунення порушень, зазначених у мотивувальній частині цього рішення.

Рішення може бути оскаржене до суду у встановлений Законом строк.

Голова Комісії Ганна ГОРНОСТАЛЬ Члени Комісії Діана ГОСТЄВА Наталя ЛЕНЬ

Скарга

Скарга на дискримінаційні умови тендерної документації