Послуги з організації та доступу до каналів передачі даних

Вимога: Змінити тендерну документацію. Зобов'язати замовника внести зміни до тендерної документації

1. У пункті 22 Додатку 2 до Тендерної документації міститься підпункт 22.3. наступного змісту:

«22.3. Копія сертифікату, що є чинним на момент подання, на мінімум одного працівника системи управління інформаційної безпеки відповідно до вимог стандарту ISO/IEC27001.».

Зазначена вимога є дискримінаційною, непропорційною та такою, що безпідставно обмежує коло потенційних учасників процедури закупівлі.

Встановлюючи обов'язок щодо надання сертифіката на мінімум одного працівника системи управління інформаційною безпекою відповідно до ISO/IEC 27001, Замовник фактично висуває надмірну вимогу до учасників, яка не випливає ані з положень чинного законодавства України, ані зі змісту самого міжнародного стандарту ISO/IEC 27001, а також не має належного зв'язку з предметом закупівлі.

При цьому Тендерна документація не містить жодного обґрунтування необхідності встановлення саме такої вимоги. Замовником не пояснено, чому для належного виконання договору недостатньо підтвердження функціонування системи менеджменту інформаційної безпеки, чому саме один працівник повинен мати відповідний сертифікат та яким чином наявність або відсутність такого сертифіката впливає на спроможність учасника належним чином виконати договір.

Фактично встановлена вимога не підтверджує жодних додаткових характеристик учасника, які були б безпосередньо пов'язані з предметом закупівлі, а лише звужує коло потенційних учасників до тих суб'єктів господарювання, які мають у своєму штаті або залучають працівника із відповідним персональним сертифікатом.

Окремо слід зазначити, що чинним законодавством України не встановлено обов’язку для суб’єктів господарювання, у тому числі учасників публічних закупівель, отримувати персональний сертифікат на окремого спеціаліста системи управління інформаційної безпеки відповідно до ISO/IEC 27001. Тобто така вимога не є законодавчо обов’язковою, а тому її встановлення у Тендерній документації можливе лише за умови належного обґрунтування Замовником її необхідності, пропорційності та безпосереднього зв’язку з предметом закупівлі.

При цьому вимога Замовника про надання сертифіката саме на одного спеціаліста не доводить наявність у такого учасника більш ефективної або якісної системи інформаційної безпеки. Навпаки, для належного надання електронних комунікаційних послуг важливим є не формальна наявність одного сертифікованого працівника, а функціонування всередині підприємства комплексної системи, у межах якої працівники діють за затвердженими політиками, процедурами, правилами контролю доступу, реагування на інциденти та управління ризиками.

Так, стандарт ISO/IEC 27001 за своєю природою є стандартом системи менеджменту інформаційної безпеки організації, а не стандартом персональної сертифікації працівників.

Це підтверджується і змістом наявного сертифіката ISO/IEC 27001 у Скаржника (додається до скарги), у якому зазначено, що сертифікаційний орган підтверджує саме те, що організація провадить систему менеджменту згідно з вимогами ДСТУ ISO/IEC 27001:2023 (ISO/IEC 27001:2022, IDT).

Так, сертифікат Скаржника виданий ТОВ «ІМС ІНТЕРНЕШНЛ», яке має атестат про акредитацію № 80166, зареєстрований у Реєстрі 20.11.2025 та дійсний до 27.10.2029. В атестаті прямо зазначено, що Національне агентство з акредитації України, яке є єдиним національним органом України з акредитації органів з оцінки відповідності, засвідчує компетентність ТОВ «ІМС ІНТЕРНЕШНЛ» як органу із сертифікації систем менеджменту відповідно до вимог ISO, в тому числі ДСТУ ISO/IEC 27001:2023 (ISO/IEC 27001:2022, IDT).

Крім того, в атестаті наявні позначки міжнародного визнання акредитації: IAF Multilateral Recognition Arrangement, National Accreditation Agency of Ukraine та European Recognition. Це додатково підтверджує, що сертифікат Скаржника виданий не довільною організацією, а компетентним акредитованим органом, акредитація якого має міжнародне визнання.

Важливо, що сертифікат Скаржника виданий не формально, а за результатом сертифікаційної процедури, яка передбачає аудит, оцінку та прийняття сертифікаційного рішення. У самому сертифікаті зазначено, що протягом трирічного строку його дії організація буде перевірятися на відповідність вимогам стандарту. Тобто чинний сертифікат ISO/IEC 27001 підтверджує не разову наявність окремого працівника, а функціонування, підтримання та регулярну перевірку всієї системи менеджменту інформаційної безпеки Скаржника.

Крім того, Скаржник має всі необхідні внутрішні політики та процедури у сфері інформаційної безпеки, які підтверджують фактичне функціонування системи менеджменту інформаційної безпеки. Зазначені документи не є другорядними додатками до сертифіката, а становлять основу практичного функціонування системи: вони визначають порядок управління ризиками, контролю доступу, реагування на інциденти, резервного копіювання, аварійного відновлення, безпечного передавання інформації, використання шифрування та управління змінами в інформаційній інфраструктурі.

Також Скажник звертає увагу Комісії, що на офіційному сайті ISO зазначено, що сертифікація за ISO/IEC 27001 є способом продемонструвати заінтересованим сторонам і клієнтам, що організація здатна управляти інформацією безпечно https://www.iso.org/standard/27001. При цьому наявність сертифіката від акредитованого органу з оцінки відповідності надає додатковий рівень впевненості, оскільки компетентність такого органу сертифікації незалежно підтверджена органом акредитації.

Тобто стандарт ISO/IEC 27001 стосується створення, впровадження, підтримки та постійного вдосконалення системи менеджменту інформаційної безпеки на рівні організації, а не персональної сертифікації окремих працівників.

Відповідно, функціонування сертифікованої системи менеджменту інформаційної безпеки вже передбачає наявність у підприємства працівників, які мають необхідні знання, компетентність та практичні навички для виконання відповідних функцій. Без підтвердження належного функціонування зазначених процесів організація не може отримати та підтримувати чинність сертифіката ISO/IEC 27001, оскільки його видача та подальше збереження передбачають проходження незалежного сертифікаційного аудиту та періодичного наглядового контролю.

Натомість вимога Замовника щодо надання персонального сертифіката одного працівника не підтверджує більш високого рівня інформаційної безпеки організації порівняно із сертифікованою системою менеджменту. Більше того, сама по собі наявність такого сертифіката у конкретної особи не свідчить про ефективність функціонування системи менеджменту інформаційної безпеки підприємства, так само як його відсутність не свідчить про нездатність учасника забезпечити належний рівень інформаційної безпеки.

Таким чином, Замовник не обґрунтував, чому для підтвердження належного рівня інформаційної безпеки недостатньо чинного сертифіката ISO/IEC 27001, виданого на систему менеджменту інформаційної безпеки учасника як організації, та чому необхідним є саме персональний сертифікат спеціаліста. Фактично Замовник встановив надмірну умову участі, яка не випливає ні з вимог законодавства, ні з природи стандарту ISO/IEC 27001. Така вимога допускає до участі лише тих суб’єктів господарювання, які мають окремого працівника або залучену особу з відповідним персональним сертифікатом, і необґрунтовано обмежує участь тих учасників, які мають сертифіковану систему менеджменту інформаційної безпеки, але не мають окремого персонального сертифіката на спеціаліста.

Отже, встановлена Замовником вимога не є ані необхідною, ані достатньою для підтвердження здатності учасника належним чином виконати договір.

Відповідна правова позиція неодноразово висловлювалася Постійно діючою адміністративною комісією АМКУ. Зокрема, у рішенні №7194-р/пк-пз від 15.06.2026 (додається до скарги), у ході розгляду аналогічного питання встановлено, що дискримінаційним по відношенню до інших суб’єктів господарювання, у тому числі, Скаржника є вимога Замовника надати сертифікат, що є чинним на момент подання, на мінімум одного спеціаліста системи управління інформаційної безпеки відповідно до вимог стандарту ISO/IEC27001.

Також, у рішеннях № 5365-р/пк-пз від 25.04.2023 та № 17927-р/пк-пз від 08.11.2023 (додаються до скарги) орган оскарження розглядав, зокрема, вимогу щодо надання чинного сертифіката внутрішнього аудитора системи менеджменту якості відповідно до стандартів ISO. Колегія встановила, що замовник не обґрунтував необхідність встановлення такої вимоги у тендерній документації. Виходячи з цього, Колегія дійшла висновку, що участь у процедурі зможуть взяти лише ті суб’єкти господарювання, які зможуть надати відповідний сертифікат внутрішнього аудитора, що є дискримінаційним щодо інших суб’єктів господарювання, у тому числі Скаржника.

Відповідно до частини першої статті 5 Закону України «Про публічні закупівлі», закупівлі здійснюються, зокрема, за принципами добросовісної конкуренції серед учасників, максимальної економії, ефективності та пропорційності, недискримінації учасників та рівного ставлення до них, відкритості та прозорості на всіх стадіях закупівель.

Згідно з частиною четвертою статті 5 Закону України «Про публічні закупівлі», замовники не мають права встановлювати жодних дискримінаційних вимог до учасників.

Відповідно до абзацу першого пункту 28 Особливостей, тендерна документація формується замовником відповідно до вимог статті 22 Закону з урахуванням цих Особливостей.

Частиною четвертою статті 22 Закону України «Про публічні закупівлі» передбачено, що тендерна документація не повинна містити вимог, що обмежують конкуренцію та призводять до дискримінації учасників.

Дії Замовника в частині встановлення вимоги щодо надання копії чинного сертифіката на мінімум одного спеціаліста системи управління інформаційною безпекою відповідно до ISO/IEC 27001 порушують вимоги частини четвертої статті 5 та частини четвертої статті 22 Закону України «Про публічні закупівлі», оскільки така вимога обмежує конкуренцію, створює додатковий необґрунтований бар’єр для участі у процедурі закупівлі та є дискримінаційною щодо учасників, які мають сертифіковану систему менеджменту інформаційної безпеки.

У зв'язку з наведеним просимо Комісію зобов'язати Замовника внести зміни до тендерної документації шляхом виключення вимоги щодо надання копії сертифікату, що є чинним на момент подання, на мінімум одного спеціаліста системи управління інформаційної безпеки відповідно до вимог стандарту ISO/IEC27001.

Відповідно до частини 8 статті 18 Закону України «Про публічні закупівлі» скарги, що стосуються прийнятих рішень, дій чи бездіяльності замовника, що відбулися до закінчення строку, встановленого для подання тендерних пропозицій, можуть подаватися протягом 10 днів з дня, коли суб’єкт оскарження дізнався або повинен був дізнатися про порушення своїх прав унаслідок рішення, дії чи бездіяльності замовника, але не пізніше ніж за чотири дні до встановленого на момент прийняття такого рішення, дії чи бездіяльності замовника кінцевого строку подання тендерних пропозицій.

Відповідно до статті 18 Закону України «Про публічні закупівлі», за результатами розгляду скарги орган оскарження має право прийняти рішення:

1) про встановлення або відсутність порушень процедури закупівлі (у тому числі порушення порядку оприлюднення або неоприлюднення інформації про процедури закупівлі, передбаченої цим Законом);

2) про заходи, що повинні вживатися для їх усунення, зокрема зобов’язати замовника повністю або частково скасувати свої рішення, надати необхідні документи, роз’яснення, усунути будь-які дискримінаційні умови (у тому числі ті, що зазначені в технічній специфікації, яка є складовою частиною тендерної документації), привести тендерну документацію у відповідність із вимогами законодавства або за неможливості виправити допущені порушення відмінити процедуру закупівлі.

Перелік документів (доказів), що підтверджують наявність у Скаржника порушених прав та охоронюваних законом інтересів з приводу рішення, дії чи бездіяльності Замовника, що суперечать законодавству у сфері публічних закупівель і внаслідок яких порушено право чи законні інтереси такої особи, пов’язані з його участю в процедурі закупівлі:

Сертифікат ISO від 28.01.2026 року (українською мовою);

Сертифікат ISO від 28.01.2026 року (англійською мовою);

Атестат про акредитацію ТОВ «ІМС ІНТЕРНЕШНЛ»;

Додаток до атестата про акредитацію ТОВ «ІМС ІНТЕРНЕШНЛ»;

Рішення Комісії Антимонопольного комітету України з розгляду скарг про порушення законодавства у сфері публічних закупівель №7194-р/пк-пз від 15.06.2026 року;

Рішення Постійно діючої адміністративної комісії Антимонопольного комітету України з розгляду скарг про порушення законодавства у сфері публічних закупівель № 5365 -р/пк-пз від 25.04.2023 року.

Рішення Комісії Антимонопольного комітету України з розгляду скарг про порушення законодавства у сфері публічних закупівель № 17927-р/пк-пз від 08.11.2023 року.

Враховуючи викладене, вважаємо, що права та законні інтереси Скаржника можуть бути захищені шляхом зобов’язання Замовника усунути дискримінаційні вимоги зазначені в тендерній документації, та привести тендерну документацію у відповідність із вимогами законодавства.

Враховуючи викладене вище

ПРОСИМО:

1. Прийняти дану скаргу до розгляду.

2. Встановити порушення, допущені Замовником ДЕРЖАВНИМ ПІДПРИЄМСТВОМ «ІНФОТЕХ» під час проведення процедури відкритих торгів з особливостями за предметом закупівлі: Послуги з організації та доступу до каналів передачі даних, код 72410000-7 за ДК 021:2015 «Послуги провайдерів», ідентифікатор закупівлі № UA-2026-07-03-007104-a.

3. Зобов’язати Замовника ДЕРЖАВНЕ ПІДПРИЄМСТВО «ІНФОТЕХ» усунути дискримінаційні умови зазначені в тендерній документації, шляхом внесення змін до тендерної документації та приведення тендерної документації у відповідність із вимогами законодавства.

Додатки до Скарги (Докази):

1. Сертифікат ISO від 28.01.2026 року (українською мовою);

2. Сертифікат ISO від 28.01.2026 року (англійською мовою);

3. Атестат про акредитацію ТОВ «ІМС ІНТЕРНЕШНЛ»;

4. Додаток до атестата про акредитацію ТОВ «ІМС ІНТЕРНЕШНЛ»;

5. Рішення Комісії Антимонопольного комітету України з розгляду скарг про порушення законодавства у сфері публічних закупівель №7194-р/пк-пз від 15.06.2026 року;

6. Рішення Постійно діючої адміністративної комісії Антимонопольного комітету України з розгляду скарг про порушення законодавства у сфері публічних закупівель № 5365 -р/пк-пз від 25.04.2023 року.

7. Рішення Комісії Антимонопольного комітету України з розгляду скарг про порушення законодавства у сфері публічних закупівель № 17927-р/пк-пз від 08.11.2023 року.