Krav om kompatibilitet med eksisterende it-miljø var sagligt
Skrevet af
Tina Johansen
Senior Associate
Danmark
Jeg er senioradvokat i vores Internationale Public Procurement Group i Danmark med flere års erfaring inden for udbuds- og kontraktret og med speciale inden for IT-retten. Min viden og praktiske erfaring gør mig til det rette valg for offentlige og private organisationer, der søger ekspertise inden for IT-anskaffelser.
Thomas Thorup Larsen
Partner
Danmark
Som partner i vores danske udbudsteam rådgiver jeg offentlige myndigheder og forsyningsvirksomheder med at gennemføre værdiskabende og fleksible offentlige indkøb.
Katja Vollertzen
Legal Advisor
Danmark
Jeg er erhvervsjuridisk rådgiver i vores danske udbudsteam, hvor jeg rådgiver offentlige myndigheder samt virksomheder om udbudsretlige problemstillinger og processer.
Klagenævnet for Udbud har i kendelse af 22. marts 2023, Filial af Trend Micro Emea Limited mod Region Hovedstaden, truffet afgørelse om, at konkrete krav om kompatibilitet med ordregivers eksisterende it-miljø, herunder navngivne produkter, ikke var i strid med udbudsreglerne, uagtet at kravene i praksis medførte, at der kun kunne leveres produkter fra én bestemt producent. Kendelsen er afgjort ved dissens, hvor det sagkyndige medlem i sagen udtalte, at regionen ikke havde løftet bevisbyrden for, at de angivne krav var sagligt begrundede og proportionale.
Faktum
Region Hovedstaden igangsatte den 26. juli 2022 et indkøb på SKI’s dynamiske indkøbssystem 02.06, Standardsoftware, om levering af endpoint-beskyttelsessoftware.
Af opgavebeskrivelsen til indkøbet fremgik, at regionen havde til hensigt at anskaffe licenser til endpoint-beskyttelse samt tilknyttede ydelser til alle regionens 7.000 endpoints. Endvidere fremgik det, at softwaren skulle kunne hente og anvende firewallgenerede logdata fra regionens eksisterende firewalls samt kunne integreres med regionens eksisterende sandkasseløsning. Det var blandt andet. angivet, at regionen anvendte Palo Alto Networks Next Generation Firewalls og Palo Alto Networks Wildfire sandbox.
Virksomheden Trend Micro sendte regionen en mail, hvori Trend Micro anførte, at Trend Micro ikke så sig i stand til at afgive tilbud. Trend Micro anførte, at kravene i opgavebeskrivelsen, om at endpoint-løsningen skulle kunne integreres med eksisterende Palo Alto-software, medførte, at ingen andre end Palo Alto var i stand til at leve op til kravene. Derfor opfordrede Trend Micro til, at regionen frafaldt de pågældende krav.
Regionen fastholdt kravene, og ved tilbudsfristens udløb havde regionen modtaget to tilbud, der alene indeholdt produkter af fabrikatet ”Palo Alto”.
Trend Micro afgav ikke selv tilbud, men indgav klage til Klagenævnet for Udbud.
Trend Micro nedlagde blandt andet påstand om, at regionen havde handlet i strid med udbudslovens § 40, stk. 4, § udbudslovens 42 samt de grundlæggende principper om ligebehandling og proportionalitet i udbudslovens § 2 ved at have fastsat tekniske specifikationer, som ikke var sagligt begrundede og proportionale med kontraktens værdi og mål, og som derfor medførte en kunstig indsnævring af konkurrencen.
Regionen gjorde hertil gældende, at ordregivere er berettiget til at fastsætte de tekniske specifikationer, som de finder nødvendige og passende, og i øvrigt har et bredt skøn i fastlæggelsen deres krav. Derudover gjorde regionen gældende, at kravene om kompatibilitet med det eksisterende it-miljø var sagligt begrundet og proportionalt samt beroede på sikkerhedsmæssige, organisatoriske, tekniske og økonomiske hensyn.
Klagenævnet udtaler
Klagenævnet udtalte, at det følger af fast klagenævnspraksis, at det er ordregivers valg, hvordan kontraktgenstanden skal defineres. Det følger samtidig af forarbejderne til udbudslovens § 40, stk. 4, at en ordregiver kan fastsætte sine tekniske specifikationer, således det alene er visse økonomiske aktører, der har adgang til udbuddet, hvis disse krav er saglige. Dog må ordregiver ikke skabe ubegrundede hindringer for konkurrencen eller på anden måde kunstigt indsnævre konkurrencen.
Klagenævnet henviste til udbudslovens § 42, stk. 1, hvoraf det følger, at en ordregiver ikke i de tekniske specifikationer, jf. § 40, må 1) angive et bestemt fabrikat mv. eller 2) henvise til et bestemt varemærke eller lignende med det resultat, at visse økonomiske aktører eller varer favoriseres eller elimineres. Af forarbejderne til bestemmelsen fremgår blandt andet:
”Hvis ordregiveren har behov for, at et indkøb er kompatibel med ordregiverens eksisterende produkter, kan ordregiveren efter omstændighederne være berettiget til at henvise til det eksisterende produkt, som det ønskede indkøb skal være kompatibel med. I denne forbindelse kan ordregiveren henvise til et specifikt varemærke med henblik på at tydeliggøre ordregiverens behov.”
Klagenævnet afgjorde, at regionens hensyn om at bidrage til øget it-sikkerhed og minimere risici gennem at bevare og udnytte den eksisterende infrastruktur, herunder firewalls og sandkasseløsning, var en saglig begrundelse. Derved gik kravene ikke væsentligt længere end nødvendigt, og angivelsen af et bestemt fabrikat, i forbindelse med behovet for opnåelse af kompatibilitet med det eksisterende it-miljø, kunne ikke føre til, at regionen havde overtrådt forbuddet § 42, stk. 1.
Det sagkyndige medlem udtalte i dissens, at udbudslovens §§ 40 og 42 samt forarbejder hertil skal forstås således, at det er regionen, som skal bevise, at de stillede krav er proportionale i forhold til kontraktens værdi og mål, ligesom det er regionen, som skal sikre, at de stillede krav er nødvendige og passende. Det sagkyndige medlem konkluderede, at regionens beskrivelse af ”sikkerhedsmæssige, organisatoriske, tekniske og økonomiske grunde” var i så generelle vendinger, at regionen ikke havde løftet bevisbyrden for, at de stillede krav var saglige og proportionale.
Klagenævnets kendelse kan tilgås her.
Bird & Birds kommentar
Kendelsen behandler et emne, som de fleste ordregivere formentlig har været i berøring med – at der indkøbes ny software, der skal indgå i ordregiverens eksisterende it-miljø.
Det forekommer ofte, at ordregivere ikke ønsker at udskifte eksisterende og sameksisterende produkter, når der er behov for at forny dele af det eksisterende it-miljø.
Et krav om en større eller samlet anskaffelse ville da også kunne resultere i store og unødige meromkostninger og krav til ordregivers løbende udbudsplanlægning, som potentielt kunne hindre ordregiver i at udvide sit it-miljø efter behov.
I sagen fremhævede regionen, at det ville være et fordyrende element, hvis regionen, i tillæg til indkøbet af endpoint-software, skulle indkøbe ny firewall-software, formentlig før det oprindeligt var planlagt, at firewall-softwaren skulle genudbydes. Regionen bemærkede, at der ville være meromkostninger forbundet hermed, til interne ressourcer for opdatering af vejledninger og regler – for så vidt angik det eksisterende it-miljø. Regionen undlod derimod at falsificere klagers udokumenterede påstand om værdien af et sådan tillæg til indkøbet. En konkret opgørelse af værdien af afskaffelsen versus den del af regionens it-miljø, som anskaffelsen skulle være kompatibel med, udestår.
Det sagkyndige medlems udtalelse angik bevisbyrden. Det sagkyndige medlem fremhævede, at regionen ikke havde løftet sin bevisbyrde for, at de stillede krav var proportionale, nødvendige og passende, herunder at de ønskede sikkerhedshensyn kun kunne sikres ved Palo Alto-produkter.
Der var med indkøbet tale om funktionskrav om integration til specifikke produkter – og ikke en anskaffelse af bestemte fabrikater. Antagelsen, af at kun én producent kunne have skabt kompatibilitet, fremstår udokumenteret hen.
Man kunne fristes til at stille spørgsmål til, om det ville have ændret formandens og dermed Klagenævnets vurdering, om der alene var indkommet ét tilbud – fra producenten af de eksisterende Palo Alto-produkter. Det er dog tvivlsomt.
Kendelsen og dissensen illustrerer, at ordregivere, som ønsker kompatibilitet mellem forskellige it-produkter, der indskrænker konkurrencen, bør træde varsomt og på forhånd overveje argumenterne herfor, herunder om deres behov kan opfyldes på anden vis.
Ordregiver bør hertil være opmærksom på, hvorvidt der er tale om en udvidelse af eksisterende miljø, der tidligere har været konkurrenceudsat. Det er alt andet lige mere risikofyldt, når ordregiver baserer sine indkøb på eksisterende ikke-udbudte varer.
Kendelsen er den fjerde kendelse fra Klagenævnet for Udbud, der omhandler dynamiske indkøbssystemer. Der er dog ingen kender, der endnu har berørt den praktiske anvendelse af dynamiske indkøbssystemer – selve indkøbsmetodens rækkevidde, så et nærmere indblik heri, som supplement til udbudslovens § 101-108, har vi til gode.
Region Hovedstaden igangsatte den 26. juli 2022 et indkøb på SKI’s dynamiske indkøbssystem 02.06, Standardsoftware, om levering af endpoint-beskyttelsessoftware.
Af opgavebeskrivelsen til indkøbet fremgik, at regionen havde til hensigt at anskaffe licenser til endpoint-beskyttelse samt tilknyttede ydelser til alle regionens 7.000 endpoints. Endvidere fremgik det, at softwaren skulle kunne hente og anvende firewallgenerede logdata fra regionens eksisterende firewalls samt kunne integreres med regionens eksisterende sandkasseløsning. Det var blandt andet. angivet, at regionen anvendte Palo Alto Networks Next Generation Firewalls og Palo Alto Networks Wildfire sandbox.
Virksomheden Trend Micro sendte regionen en mail, hvori Trend Micro anførte, at Trend Micro ikke så sig i stand til at afgive tilbud. Trend Micro anførte, at kravene i opgavebeskrivelsen, om at endpoint-løsningen skulle kunne integreres med eksisterende Palo Alto-software, medførte, at ingen andre end Palo Alto var i stand til at leve op til kravene. Derfor opfordrede Trend Micro til, at regionen frafaldt de pågældende krav.
Regionen fastholdt kravene, og ved tilbudsfristens udløb havde regionen modtaget to tilbud, der alene indeholdt produkter af fabrikatet ”Palo Alto”.
Trend Micro afgav ikke selv tilbud, men indgav klage til Klagenævnet for Udbud.
Trend Micro nedlagde blandt andet påstand om, at regionen havde handlet i strid med udbudslovens § 40, stk. 4, § udbudslovens 42 samt de grundlæggende principper om ligebehandling og proportionalitet i udbudslovens § 2 ved at have fastsat tekniske specifikationer, som ikke var sagligt begrundede og proportionale med kontraktens værdi og mål, og som derfor medførte en kunstig indsnævring af konkurrencen.
Regionen gjorde hertil gældende, at ordregivere er berettiget til at fastsætte de tekniske specifikationer, som de finder nødvendige og passende, og i øvrigt har et bredt skøn i fastlæggelsen deres krav. Derudover gjorde regionen gældende, at kravene om kompatibilitet med det eksisterende it-miljø var sagligt begrundet og proportionalt samt beroede på sikkerhedsmæssige, organisatoriske, tekniske og økonomiske hensyn.
Klagenævnet udtaler
Klagenævnet udtalte, at det følger af fast klagenævnspraksis, at det er ordregivers valg, hvordan kontraktgenstanden skal defineres. Det følger samtidig af forarbejderne til udbudslovens § 40, stk. 4, at en ordregiver kan fastsætte sine tekniske specifikationer, således det alene er visse økonomiske aktører, der har adgang til udbuddet, hvis disse krav er saglige. Dog må ordregiver ikke skabe ubegrundede hindringer for konkurrencen eller på anden måde kunstigt indsnævre konkurrencen.
Klagenævnet henviste til udbudslovens § 42, stk. 1, hvoraf det følger, at en ordregiver ikke i de tekniske specifikationer, jf. § 40, må 1) angive et bestemt fabrikat mv. eller 2) henvise til et bestemt varemærke eller lignende med det resultat, at visse økonomiske aktører eller varer favoriseres eller elimineres. Af forarbejderne til bestemmelsen fremgår blandt andet:
”Hvis ordregiveren har behov for, at et indkøb er kompatibel med ordregiverens eksisterende produkter, kan ordregiveren efter omstændighederne være berettiget til at henvise til det eksisterende produkt, som det ønskede indkøb skal være kompatibel med. I denne forbindelse kan ordregiveren henvise til et specifikt varemærke med henblik på at tydeliggøre ordregiverens behov.”
Klagenævnet afgjorde, at regionens hensyn om at bidrage til øget it-sikkerhed og minimere risici gennem at bevare og udnytte den eksisterende infrastruktur, herunder firewalls og sandkasseløsning, var en saglig begrundelse. Derved gik kravene ikke væsentligt længere end nødvendigt, og angivelsen af et bestemt fabrikat, i forbindelse med behovet for opnåelse af kompatibilitet med det eksisterende it-miljø, kunne ikke føre til, at regionen havde overtrådt forbuddet § 42, stk. 1.
Det sagkyndige medlem udtalte i dissens, at udbudslovens §§ 40 og 42 samt forarbejder hertil skal forstås således, at det er regionen, som skal bevise, at de stillede krav er proportionale i forhold til kontraktens værdi og mål, ligesom det er regionen, som skal sikre, at de stillede krav er nødvendige og passende. Det sagkyndige medlem konkluderede, at regionens beskrivelse af ”sikkerhedsmæssige, organisatoriske, tekniske og økonomiske grunde” var i så generelle vendinger, at regionen ikke havde løftet bevisbyrden for, at de stillede krav var saglige og proportionale.
Klagenævnets kendelse kan tilgås her.
Bird & Birds kommentar
Kendelsen behandler et emne, som de fleste ordregivere formentlig har været i berøring med – at der indkøbes ny software, der skal indgå i ordregiverens eksisterende it-miljø.
Det forekommer ofte, at ordregivere ikke ønsker at udskifte eksisterende og sameksisterende produkter, når der er behov for at forny dele af det eksisterende it-miljø.
Et krav om en større eller samlet anskaffelse ville da også kunne resultere i store og unødige meromkostninger og krav til ordregivers løbende udbudsplanlægning, som potentielt kunne hindre ordregiver i at udvide sit it-miljø efter behov.
I sagen fremhævede regionen, at det ville være et fordyrende element, hvis regionen, i tillæg til indkøbet af endpoint-software, skulle indkøbe ny firewall-software, formentlig før det oprindeligt var planlagt, at firewall-softwaren skulle genudbydes. Regionen bemærkede, at der ville være meromkostninger forbundet hermed, til interne ressourcer for opdatering af vejledninger og regler – for så vidt angik det eksisterende it-miljø. Regionen undlod derimod at falsificere klagers udokumenterede påstand om værdien af et sådan tillæg til indkøbet. En konkret opgørelse af værdien af afskaffelsen versus den del af regionens it-miljø, som anskaffelsen skulle være kompatibel med, udestår.
Det sagkyndige medlems udtalelse angik bevisbyrden. Det sagkyndige medlem fremhævede, at regionen ikke havde løftet sin bevisbyrde for, at de stillede krav var proportionale, nødvendige og passende, herunder at de ønskede sikkerhedshensyn kun kunne sikres ved Palo Alto-produkter.
Der var med indkøbet tale om funktionskrav om integration til specifikke produkter – og ikke en anskaffelse af bestemte fabrikater. Antagelsen, af at kun én producent kunne have skabt kompatibilitet, fremstår udokumenteret hen.
Man kunne fristes til at stille spørgsmål til, om det ville have ændret formandens og dermed Klagenævnets vurdering, om der alene var indkommet ét tilbud – fra producenten af de eksisterende Palo Alto-produkter. Det er dog tvivlsomt.
Kendelsen og dissensen illustrerer, at ordregivere, som ønsker kompatibilitet mellem forskellige it-produkter, der indskrænker konkurrencen, bør træde varsomt og på forhånd overveje argumenterne herfor, herunder om deres behov kan opfyldes på anden vis.
Ordregiver bør hertil være opmærksom på, hvorvidt der er tale om en udvidelse af eksisterende miljø, der tidligere har været konkurrenceudsat. Det er alt andet lige mere risikofyldt, når ordregiver baserer sine indkøb på eksisterende ikke-udbudte varer.
Kendelsen er den fjerde kendelse fra Klagenævnet for Udbud, der omhandler dynamiske indkøbssystemer. Der er dog ingen kender, der endnu har berørt den praktiske anvendelse af dynamiske indkøbssystemer – selve indkøbsmetodens rækkevidde, så et nærmere indblik heri, som supplement til udbudslovens § 101-108, har vi til gode.
