Otsus

<

OTSUS Vaidlustusasja number

227-24/283360

Otsuse kuupäev 13.12.2024 Vaidlustuskomisjoni liige Taivo Kivistik Vaidlustus Menetlusosalised Vaidlustuse läbivaatamine

Wisercat Estonia OÜ vaidlustus Eesti Panga riigihankes „Turvatestimise teenuse hange“ (viitenumber 283360) Wisercat Estonia OÜ kvalifitseerimata jätmise otsusele Vaidlustaja, Wisercat Estonia OÜ, esindajad vandeadvokaat Erki Fels ja advokaat Gregor Saluveer Hankija, Eesti Pank, esindaja Hannes Nugin Kirjalik menetlus

RESOLUTSIOON RHS § 197 lg 1 p-i 5 ja § 198 lg 1 alusel 1. Rahuldada Wisercat Estonia OÜ vaidlustus Eesti Panga riigihankes „Turvatestimise teenuse hange“ (viitenumber 283360) ning tunnistada kehtetuks hankija otsus jätta Wisercat Estonia OÜ kvalifitseerimata. 2. Mõista Eesti Pangalt Wisercat Estonia OÜ kasuks välja vaidlustuse esitamisel tasutud riigilõiv 640 eurot ja lepinguliste esindajate kulud 1350 eurot (käibemaksuta). EDASIKAEBAMISE KORD Halduskohtumenetluse seadustiku § 270 lg 1 alusel on vaidlustuskomisjoni otsuse peale halduskohtule kaebuse esitamise tähtaeg 10 päeva arvates vaidlustuskomisjoni otsuse avalikult teatavaks tegemisest. ASJAOLUD JA MENETLUSE KÄIK 1. 27.08.2024. a avaldas Eesti Pank (edaspidi ka Hankija) avatud hankemenetlusega riigihanke „Turvatestimise teenuse hange“ (viitenumber 283360) (edaspidi Riigihange). hanketeate ja tegi kättesaadavaks teised riigihanke alusdokumendid (edaspidi koos nimetatult RHAD). Pakkumuste esitamise tähtpäevaks, 20.09.2024. a, esitasid pakkumuse 8 pakkujat, sh Wisercat Estonia OÜ. 2. 07.11.2024. a Kvalifitseerimise otsusega (edaspidi Otsus) jättis Hankija Wisercat Estonia OÜ kvalifitseerimata. 3. 18.11.2024. a laekus Riigihangete vaidlustuskomisjonile (edaspidi vaidlustuskomisjon) Wisercat Estonia OÜ (edaspidi ka Vaidlustaja) vaidlustus Hankija otsusele jätta Wisercat Estonia OÜ kvalifitseerimata. 4. Kooskõlas riigihangete seaduse (edaspidi RHS) § 195 lg-ga 2 ja § 196 lg-dega 1 ja 3 teatas vaidlustuskomisjon 22.11.2024 kirjaga nr 12.2-10/227 menetlusosalistele, et vaatab vaidlustuse läbi esitatud dokumentide alusel kirjalikus menetluses, tegi teatavaks otsuse

2 (9)

avalikult teatavaks tegemise aja ning andis täiendavate seisukohtade ja dokumentide esitamiseks aega kuni 27.11.2024 ja neile vastamiseks 02.12.2024. Vaidlustuskomisjoni määratud esimeseks tähtpäevaks esitas täiendava seisukoha ja menetluskulude nimekirja Vaidlustaja. Teiseks tähtpäevaks esitas täiendava seisukoha Hankija. MENETLUSOSALISTE PÕHJENDUSED 5. Vaidlustaja, Wisercat Estonia OÜ, vaidlustuses ja 27.11.2024. a esitatud täiendavates seisukohtades põhjendatakse taotlust alljärgnevalt. 5.1.Hankija põhjendab otsust jätta Vaidlustaja kvalifitseerimata järgmiselt: Pakkuja meeskonnas pidi olema vähemalt 3 turvatestimise kvalifikatsiooniga spetsialisti, kellel on vähemalt 3-aastane kogemus hankelepingu esemega sarnaste teenuste osutamisel. Pakkujal on selliseid spetsialiste 2. Spetsialistil [---] on hankes nõutud kogemus alates 01.2022. Hankija ei loe spetsialisti varasemat kogemust kvaliteedikontrolli insenerina võrdväärseks turvatestimise teenuse osutamisega. Hankija otsus põhineb seega arvamusel, et spetsialistil T. I.-l (edaspidi ka Spetsialist) ei ole 3-aastast kogemust hankelepingu esemega sarnaste teenuste osutamisel. 5.2. T. I.-l on nõutav töökogemus. Igas kolmes töökohas, mis on CV-s välja toodud, on Spetsialisti töö sisuks olnud mh veebirakenduste turvatestimine OWASP ASVS versioon 4.0 tase 1, 2 või 3 alusel, testimise raporti koostamine ning leitud vigade järelkontroll. See hõlmab eneses ka „Red/Purple Teaming“ läbistustesti kogemust ja pädevust eesmärgiga tuvastada infosüsteemi haavatavusi ja selle kaitsmise nõrkusi lähtudes TIBER EU testiraamistikust, testimise raporti koostamist ja leitud vigade järelkontrolli. 5.3. Spetsialisti CV-s on märgitud, et perioodil 07.2019-01.2022 töötas T. I. ettevõttes Keysight Ixia kvaliteedikontrolli insenerina. Keysight Ixia ettevõtlus on turvatestimise seadmete müümine. Seega oli Spetsialisti igapäevane töö veebirakenduste turvatestimine. Pärast Keysight Ixiat siirdus Spetsialist tööle turvatestijana ettevõttesse Infosys Consulting, kus tegeles samuti igapäevaselt veebirakenduste turvatestimisega. Hankija on tõenäoliselt eksiarvamusel seetõttu, et Spetsialist sai OSCP sertifikaadi 2022. aasta keskel, mis justkui viitab, et turvatestimisega on Spetsialist tegelenud alles sellest ajast. See ei ole tõsi - sertifikaadi olemasolu ei ole turvatestimise eelduseks (ja vastupidi, sertifikaat ei näita, et isik tegelikult turvatestimisega tegeleb). 5.4. Sertifikaadi tegi Spetsialist Infosys Consulting juures töötades ja põhjusel, et Infosys Consulting müüb turvatestimist teenusena. Majast välja teenust müües on sertifikaat kvaliteedimärk. Keysight Ixia juures töötades ei olnud sertifikaati vaja, kuna Keysight Ixia müüb turvatestimise seadmeid, mitte turvatestimise teenust. Spetsialist tegeles kvaliteedikontrolli insenerina küll igapäevaselt turvatestimisega, kuid majasiseselt. Kui ettevõte on ise veendunud töötaja pädevuses ja töötaja ei müü klientidele teenust (vaid töötab ettevõtte poolt müüdavate seadmete parendamisega), ei ole sertifikaadi olemasolu ettevõttele oluline. 5.5. Hankija hinnang, et Spetsialisti varasem kogemus kvaliteedikontrolli insenerina ei ole võrdväärne turvatestimise teenuse osutamisega, on väär. 5.6. Kuigi Spetsialistil on olemas kogemus just turvatestimisega, ei ole Hankija tegelikult isegi nõudnud turvatestimise kogemust vaid „hankelepingu esemega sarnast“ kogemust. Mida see täpsemalt tähendab, RHAD-is defineeritud pole. 5.7. 27.11.2024. a esitas Vaidlustaja täiendavad seisukohad. 5.7.1. Vaidluse lahendamisel on keskne küsimus, kas Spetsialist on ettevõttes Keysight Ixia kvaliteedikontrolli insenerina töötades omandanud hankelepingu esemega sarnase teenuse osutamise kogemuse. 5.7.2. Hankija on teinud otsuse jätta Vaidlustaja kvalifitseerimata tõendite alusel ja ei ole Vaidlustajalt kvalifikatsiooni kohta isegi tõendeid küsinud ega teinud sisuliselt kindlaks, kas Spetsialistil on nõutud kogemus olemas.

3 (9)

5.7.3. Hankija järeldus, et Spetsialistil nõutud kogemus puudub, on oletuslik: 1) Hankija väidab, et Spetsialisti CV põhjal saab kindlalt väita ainult seda, et Riigihankes nõutud töökogemus on tal olemas alates 02.2023; 2) Hankija hindab, et ei ole ühtegi alust väita, et müügiettevõtte kvaliteedikontrolli insener tegeleb iseenesestmõistetavalt veebirakenduste turvatestimisega, loogilisem oleks järeldada, et vastav ametimees peab kindlustama müüdavate toode vastavuse ettevõttes kehtestatud kvaliteedinõuetele; 3) Hankija väidab, et kindlalt on Spetsialistil kogemus alates 02.2023, tõenäoliselt alates 16.05.2022, aga varasema kogemuse osas Hankijal faktilisi andmeid ei ole. 5.7.4. Arvestades, et hankelepingu ese on turvatestimise teenus, on kvalifitseerimise tingimuse mõtteks, et spetsialistidel on 3-aastane turvatestimise kogemus. See kogemus on T. I.-l faktiliselt olemas. Hankijal on õigus, et ta ei saa kvalifitseerida pakkujat, kes ei vasta kõikidele kvalifitseerimise tingimustele, kuid Hankija ei ole kvalifikatsiooni olemasolu kindlaks teinud. 5.7.5. Hankijal on õigus kogu riigihanke vältel nõuda pakkujalt kvalifikatsiooni tõendavate dokumentide esitamist (RHS § 104 lg 7 ls 1). Kui Hankijal tekib kahtlus hankepassis antud kinnituste või hankepassist nähtuva info tõele vastavusest, on tal proportsionaalsuse põhimõttest tulenevalt kohustus küsida pakkujalt enne negatiivse otsuse tegemist tõendeid. Hankijal olnuks seejärel õigus jätta Vaidlustaja kvalifitseerimata, kui tõendid ei kinnitanuks kvalifikatsiooni olemasolu (RHS § 104 lg 7 ls 2) või Vaidlustaja oleks jätnud tõendid esitamata (RHS § 104 lg 9). 5.7.6. Hankija ei ole küsinud Vaidlustajalt tõendeid selle kohta, et Spetsialist tegeles ettevõttes Keysight Ixia igapäevaselt turvatestimise teenuse osutamisega. 18.10.2024. a päringuga küsis Hankija Vaidlustajalt üksnes selgitust pakkumuses juba esitatud andmete kohta (RHS § 46 lg 4) - kas ta saab õigesti aru, et [Spetsialistil] puudub hanke tingimustes nõutud vähemalt 3-aastane kogemus hankelepingu esemega sarnaste teenuste osutamisel. Vaidlustaja vastas Hankijale, et Hankija ei ole õigesti aru saanud, Spetsialistil on nõutud kogemus olemas. Ringkonnakohus on selgitanud, et hankija peab kasutama talle ette nähtud selgituste küsimise võimalust maksimaalselt selliselt, et pakkujalt küsitaks kahtluse korral konkreetseid küsimusi või tõendeid, mis võimaldaksid hinnata pakkumuse nõuetekohasust. Pakkuja ei pea tõlgendamise teel tuletama hankija selgituspäringust küsimusi, mida selles tegelikult esitatud ei ole. 5.7.7. Kuna Hankija ei ole küsinud Vaidlustajalt tõendeid Spetsialisti kogemuse kohta, ei saanud ta kaalutlusõiguse teostamisel arvestada olulisi asjaolusid (HMS § 4 lg 2). Seejuures ei oleks vaidlustuskomisjonil võimalik tõsikindlalt kvalifikatsiooni olemasolu jaatada ega eitada ka siis, kui Vaidlustaja esitaks tõendid vaidlustusmenetluses, kuna kvalifitseerimise otsus on antud juhul kaalutlusotsus (Hankija peab tegema kindlaks, kas spetsialisti kogemus on hankelepingu esemega sarnane). Vaidlustuskomisjon ei saa Hankija eest kaalutlusõigust ise teostada (HKMS § 158 lg 3). Hankija otsus tuleb kehtetuks tunnistada juba ainuüksi selle tagantjärele kõrvaldamatu kaalutlusvea tõttu. 5.7.8. Hankija väidab, et tal ei ole alust väita, et müügiettevõtte kvaliteedikontrolli insener tegeleb iseenesestmõistetavalt veebirakenduste turvatestimisega, loogilisem oleks järeldada, et vastav ametimees peab kindlustama müüdavate toode vastavuse ettevõttes kehtestatud kvaliteedinõuetele. Hankija selline järeldus ei ole õige. Hankija ei saa enda arvamuste alusel jätta pakkujat kvalifitseerimata ilma, et ta oleks pakkujale andnud võimalust tõendite esitamiseks. Kuna Keysight Ixia ettevõtlus on turvatestimise seadmete müümine, siis ongi selles ettevõttes töötavate kvaliteedikontrolli inseneride igapäevane töö veebirakenduste turvatestimise teenuse osutamine – vaid nii on võimalik kontrollida müüdavate turvaseadmete kvaliteeti. 5.7.9. Hankija väitel sai tema jaoks otsustavaks see, et töötaja ei müünud klientidele teenust. See väide ei ole asjassepuutuv ning tõenäoliselt ei kontrollinud Hankija tegelikult nõnda kvalifikatsiooni ühegi pakkuja puhul. Ettevõtte töötajad ei müü teenust otse klientidele vaid osutavad teenust ettevõttele, kus nad töötavad. Asjaolu, kas ettevõte müüb lõppastmes töötaja tehtud töö ehk osutatud teenuse kliendile edasi või mitte, ei oma kvalifitseerimise tingimuse sõnastusest tulenevalt tähtsust. Kvalifitseerimise tingimuse mõtteks saab olla vaid see, et spetsialistil on 3-aastane turvatestimise kogemus – õigusliku suhte iseloom, läbi mille see

4 (9)

kogemus on omandatud, ei oma tähtsust. Isegi kui kvalifitseerimise tingimus oleks selles osas mitmeti mõistetav, tuleb kahtluse korral hanketingimusi tõlgendada ettevõtjale soodsamal viisil. 6. Hankija, Eesti Pank, vaidleb vaidlustusele vastu (Hankija vastus esitati 22.11.2024 ja 29.11.2024 kirjadega) ning palub jätta selle rahuldamata alljärgnevatel põhjustel. 6.1. Kvalifitseerimistingimus „Kvaliteedikontrolli eest vastutavad tehnilised töötajad või tehnilised üksused“ (edaspidi Tingimus) nägi ette, et: Pakkuja meeskonnas peab olema vähemalt 3 turvatestimise kvalifikatsiooniga spetsialisti, kellel on vähemalt 3-aastane kogemus hankelepingu esemega sarnaste teenuste osutamisel. Nimetatud spetsialistidel peab olema kas „Giac Web Application Penetration Tester (GWAPT)“, „Offensive Security Certified Professional (OSCP)“, „Offencive Security Certified Expert (OSCE)“ või samaväärne sertifikaat. Pakkuja esitab iga spetsialisti kohta andmed tema kogemuse ja talle väljastatud sertifikaadi kohta. Hankija nõudel esitab pakkuja hankijale täiendavalt spetsialistide CV-d ja spetsialistidele väljastatud sertifikaatide koopiad. 6.2. Hankijal tekkis kahtlus, et Vaidlustajal ei pruugi olla nõutud kogemusega nõutud arvu spetsialiste juba Vaidlustaja hankepassiga tutvudes, milles Vaidlustaja oli esitanud andmed kolme spetsialisti kohta, kelleks olid G. A., G. B. ja T. I.. Kui neist esimese puhul oli hankepassis spetsialisti kogemuseks märgitud üle 12 aasta kogemust Penetration testerina ning teise puhul üle 5 aasta kogemust Penetration testerina, siis kolmanda spetsialisti - T. I. kohta polnud hankepassi osas „Kvalifikatsioon, kogemus“ midagi öeldud – see väli oli tühi. 6.3. Vaidlustaja väitel on T. I.-l nõutud töökogemus, mille kirjeldus vastab peaaegu sõna- sõnalt skoobile, mida on RHAD-is nimetatud Riigihanke eesmärgina ja seda kõikides varasemates töökohtades. Esitatud CV põhjal saab aga teha järeldused: 1) Spetsialistil on nõutud töökogemus alates 02.2023 - välja on toodud nii hankelepingu esemega sarnased projektid, nende sisu ja isegi maht; 2) Spetsialist on töötanud alates 01.2022 ettevõttes Infosys Consulting ametikohal Penetration Tester, ent ei selgu millised olid tema tööülesanded ja millistes projektides ta osales; 3) Spetsialist töötas perioodil 07.2019 – 01.2022 ettevõttes Keysight Ixia ametikohal QA Automation Engineer, tööülesannete väli on siingi tühi. Kui vaadata Vaidlustaja esitatud ülejäänud kahe spetsialisti CV-sid, siis seal on välja toodud töökohad, positsioonid, töö kirjeldused ja mahud kuni aastateni 2012 (G. A.) ning 2019 (G. B.), aga T. I. CV põhjal saab kindlalt väita ainult seda, et Riigihankes nõutud töökogemus on tal alates 02.2023. 6.4. Vaidlustuse kohaselt töötas T. I. perioodil 07.2019 – 01.2022 ettevõttes Keysight Ixia kvaliteedikontrolli insenerina, aga mitte turvatestijana, mis on tema ametikohaks märgitud hilisema kahe tööandja juures. Samas väidetakse, et Keysight Ixia ettevõtlus on turvatestimise seadmete müümine, aga mitte turvatestimise teenuse osutamine. Seejärel teeb Vaidlustaja meelevaldse järelduse ja väidab, et seega oli T. I. igapäevane töö veebirakenduste turvatestimine. Hankija hinnangul pole ühtegi alust väita, et müügiettevõtte kvaliteedikontrolli insener tegeleb iseenesestmõistetavalt veebirakenduste turvatestimisega, loogilisem oleks järeldada, et vastav ametimees peab kindlustama müüdavate toode vastavuse ettevõttes kehtestatud kvaliteedinõuetele. Vaidlustaja jätkab väitega, et pärast Keysight Ixiat siirdus Spetsialist tööle turvatestijana ettevõttesse Infosys Consulting, kus tegeles samuti igapäevaselt veebirakenduste turvatestimisega. CV-st aga ei selgu, millega T. I. ettevõttes Infosys Consulting tegeles, sest töökirjelduse lahter on tühi. 6.5. Vaidlustaja arvates on Hankija T. I. kogemuse hindamisel lasknud end eksitada sellest, et Spetsialist sai OSCP sertifikaadi 2022. aasta keskel. Kui G. A.-le väljastati OSCP sertifikaat 04.03.2015 ja G. B.-le väljastati OSCP sertifikaat 27.10.2019, siis see teadmine toetas Hankija hinnangut, et need spetsialistid vastavad Riigihankes esitatud nõuetele. Hankija kahtlus T. I. nõuetele vastavuse osas süvenes, kuna talle väljastati OSCP sertifikaat alles 16.05.2022. a. 6.6. Vaidlustuses sedastatakse, et sertifikaadi tegi T. I. Infosys Consulting juures töötades ja põhjusel, et Infosys Consulting müüb turvatestimist teenusena. Arvestades sertifikaadi kuupäeva 16.05.2022. a järeldab Hankija, et vaatamata sellele, et T. I. alustas CV kohaselt tööd ettevõttes Infosys Consulting alates 01.2022, siis teenust majast välja osutama sai ta hakata mitte varem kui 4 kuud pärast tööle asumist. Kas ta ka päriselt turvatestimise teenust

5 (9)

majast välja osutas, ei saa väita, kuna CV-s ei ole tema töö sisu ettevõtte Infosys Consulting juures kirjeldatud. Vaidlustaja ise konstateerib, et Keysight Ixia juures töötades ei olnud sertifikaati vaja, kuna Keysight Ixia müüb turvatestimise seadmeid, mitte ei müüda klientidele turvatestimise teenust. Siit on selge, et T. I. ettevõttes Keysight Ixia töötades klientidele turvatestimise teenust ei osutanud. Väide, et Spetsialist tegeles turvatestimisega majasiseselt on eraldivõetuna sisutühi – kui CV-s oleks kirjeldatud T. I. tööülesandeid enne 2022. aastat, siis võinuks Hankija kaaluda, kas see igapäevane majasisene turvatestimine oli samaväärne veebirakenduste käsitsi verifikatsiooninõuete turvatestimisega või TIBER EU raamistikust lähtuva „Red/Purple Teaming“ turvatestimisega. Vaidlustaja väidab, et töötades ettevõttes Keysight Ixia ei müünud T. I. klientidele teenust vaid töötas ettevõtte poolt müüdavate seadmete parendamisega. See väide, mille Vaidlustaja esitas ka vastusena Hankija 18.10.2024. a päringule, oli üks võtme-elemente puudulikult koostatud CV ja suhteliselt hiljuti väljastatud sertifikaadi kõrval, mis hajutas Hankija kahtlused T. I.-l kogemuse (puudumise) osas ning viis Vaidlustaja kvalifitseerimata jätmiseni. 6.7. Hankija nõustub, et T. I.-l on kogemus turvatestimisega, ainult mitte Riigihankes nõutud mahus. Kindlalt on see kogemus olemas alates 02.2023, tõenäoliselt alates 16.05.2022. a, aga varasema kogemuse osas Hankijal faktilisi andmeid ei ole. Riigihanget alustati 27.08.2024. a, kolm aastat sellest tagasi on 28.08.2021. a. 6.8. Hankija korraldatava turvatestimise teenuse hanke hankelepingu ese on turvatestimise teenuse tellimine, mitte turvatestimise seadmete ostmine ega turvatestimise seadmete parendamine. Kui tellitakse turvatestimise teenust, siis iga mõistlik isik saab aru, et seda teenust osutavad turvatestijad, mitte müügimehed ega seadmete kvaliteedi kontrollijad. Vaidlustaja esitatud andmete põhjal tekkis Hankijal põhjendatud kahtlus, et Vaidlustaja Spetsialist ei vasta Riigihanke nõuetele. Hankija peab Riigihanke nõuetele vastavust sisuliselt kontrollima. Hankija küsis 18.10.2024. a Vaidlustajalt selgitust T. I.-i kogemuse kohta. Vaidlustaja 25.10.2024. a vastus ei veennud Hankijat, et T. I. puhul on täidetud Riigihankes turvatestimise teenust osutavale spetsialistile esitatud varasema kogemuse nõue. 6.9. 29.11.2024. a esitas Hankija täiendavad seisukohad. 6.9.1. Vaidlustaja väide, et Hankija ei ole saanud Vaidlustajat tõendite alusel kvalifitseerimata jätta, kuna Hankija ei ole Vaidlustajalt tõendeid küsinud, on väär. Hankija ei küsinud Vaidlustajalt tõendeid, sest Vaidlustaja esitas tõendid (CV-d) juba koos pakkumusega. 6.9.2. Hankija nõudis pakkuja kinnitusi sisaldava hankepassi esitamist esialgse tõendina pakkuja suhtes kõrvaldamise aluste puudumise ja tema kvalifitseerimise tingimustele vastamise kohta. Hankepass peab muu hulgas sisaldama pakkuja kinnitust, et ta vastab kõikidele riigihanke alusdokumentides pakkuja kvalifitseerimiseks esitatud tingimustele ja hankija nõutud andmeid esitatud tingimustele vastamise kohta (RHS §104 lg 2 p 2). Tingimuse selgituses oli nõutud, et igal spetsialistil on vähemalt 3-aastane kogemus. Vaidlustaja hankepassis puudus info Spetsialisti kvalifikatsiooni ja kogemuse kohta. Kuna andmed hankepassis olid puudulikud, ei oleks Hankija saanud Vaidlustajat isegi hankepassi (kinnituste) alusel kvalifitseerida. 6.9.3. Hankija tegi kõikide pakkujate ja tuginetavate alltöövõtjate kohta kvalifitseerimise või kvalifitseerimata jätmise otsuse tõendite alusel. Iga turvatestimise kvalifikatsiooniga spetsialisti vastavust Riigihanke nõuetele kontrollis Hankija kahe tõendi alusel. Esiteks kontrollis Hankija, kas igal spetsialistil on olemas Riigihanke nõuetele vastav sertifikaat. Teiseks kontrollis Hankija iga spetsialisti kogemust esitatud CV alusel. 6.9.4. Tingimuse selgituses on öeldud: Pakkuja esitab iga spetsialisti kohta andmed tema kogemuse ja talle väljastatud sertifikaadi kohta. Hankija nõudel esitab pakkuja hankijale täiendavalt spetsialistide CV-d ja spetsialistidele väljastatud sertifikaatide koopiad. Vaidlustaja ei esitanud hankepassis andmeid T. I. kogemuse ega talle väljastatud sertifikaadi kohta. Hankepassis ei esitanud Vaidlustaja andmeid ka kahele ülejäänud spetsialistile väljastatud sertifikaatide kohta. Samal ajal kui kõik ülejäänud pakkujad ja alltöövõtjad esitasid oma hankepassides andmed nii oma spetsialistide kogemuse kui ka neile väljastatud sertifikaatide kohta. 6.9.5. Vastavalt RHS §104 lg-le 6 teeb hankija otsuse hankepassis esitatud teabe alusel

6 (9)

pakkuja kvalifitseerimise või kvalifitseerimata jätmise kohta. Hankija oleks pidanud Vaidlustaja kvalifitseerimata jätma juba hankepassis esitatud teabe alusel. 6.9.6. Kuna Vaidlustaja esitas CV-d (tõendid spetsialistide kvalifikatsiooni kohta) juba pakkumuses, ei hakanud Hankija CV-d Vaidlustajalt täiendavalt nõutama. T. I. CV kontrollimisel tuvastas Hankija, et tal on olemas Riigihankes nõutud sertifikaat ning tõendatud nõutud kogemus alates 02.2023. T. I. CV (tõend) oli sedavõrd puudulikult sisustatud, et selle alusel ei saanud Vaidlustajat kvalifitseerida. Kuigi peale T. I. CV kontrolli oli selge, et Vaidlustaja ei kvalifitseeru, otsustas Hankija enne negatiivse otsuse tegemist küsida Vaidlustajalt selgitust. Selgituspäringus loetles Hankija faktid, mis ta CV-st välja luges, ja esitas küsimuse, kas ta saab õigesti aru, et Spetsialistil puudub Riigihanke tingimustes nõutud vähemalt 3-aastane kogemus hankelepingu esemega sarnaste teenuste osutamisel. Vaidlustaja asus oma pakkumuses esitatud CV tühimikke sisustama väites, et T. I.-l on 3-aastane töökogemus hankelepingu esemega sarnaste teenuste osutamisel ja esitas loetelu tema kogemuse kohta. Veel väitis Vaidlustaja, et ettevõttes Keysight Ixia oli T. I. igapäevane töö veebirakenduste turvatestimine. Samuti väitis Vaidlustaja, et ettevõttes Infosys Consulting tegeles T. I. samuti igapäevaselt veebirakenduste turvatestimisega. Arusaamatuks jääb, miks seda infot ei olnud CV-s. Kui Vaidlustaja edastas Hankijale täiesti uusi väiteid, siis miks ei lisanud ta nende kinnituseks CV juurde täiendavaid tõendeid? Ainult selgituste (väidete) abil ei saa pakkuja muuta pakkumuse dokumente. 6.9.7. Täiendavates seisukohtades näib Vaidlustaja teadvat, et Tingimuse mõtteks on see, et spetsialistidel on 3-aastane turvatestimise kogemus. See ei ole korrektne, sest suvalise kogemusega spetsialist ei pruugi sobida spetsiifiliste ülesannete lahendamiseks. Tingimuse mõte on, et sõlmitava lepingu alusel hakkavad teenust osutama piisava pädevusega spetsialistid. Piisavaks pädevuseks on Hankija määratlenud vähemalt 3-aastase kogemuse olemasolu hankelepingu esemega sarnaste teenuste osutamisel. Teenuse sarnasuse üle otsustamiseks kasutas Hankija pakkujate esitatud CV-sid. Kuna Vaidlustaja esitatud CV-s ei olnud kirjeldatud T. I. töökogemust, mis eelnes 2023. aasta veebruarile, ei saanud Hankija järeldada, et Spetsialistil on hankelepingu esemega sarnaste teenuste osutamise kogemus Riigihankes nõutud mahus olemas. Oma vastuses Hankija selgituspäringule ei esitanud Vaidlustaja ühtegi tõendit oma uute väidete kinnituseks. 6.9.8. Hankija kohtles kõiki pakkujaid ühetaoliselt - kvalifitseerimata jätmise otsust tehes lähtus Hankija esitatud tõenditest – sertifikaatidest ja CV-dest – ning nendes sisalduvatest andmetest. Kõik pakkujad, kelle puhul ei olnud kõik kvalifitseerimisele esitatud nõuded täidetud, jäeti kvalifitseerimata. VAIDLUSTUSKOMISJONI PÕHJENDUSED 7. Tingimuse (vt käesoleva otsuse p 6.1) kohaselt peab pakkuja meeskonnas olema vähemalt 3 spetsialisti, kellel on: 1) turvatestimise kvalifikatsioon; 2) vähemalt 3-aastane kogemus hankelepingu esemega sarnaste teenuste osutamisel; 3) kas „Giac Web Application Penetration Tester (GWAPT)“, „Offensive Security Certified Professional (OSCP)“, „Offencive Security Certified Expert (OSCE)“ või samaväärne sertifikaat. Pakkujal tuli esitada iga spetsialisti kohta andmed tema kogemuse ja talle väljastatud sertifikaadi kohta. Spetsialistide CV-d ja spetsialistidele väljastatud sertifikaatide koopiad tuli esitada Hankija nõudel, s.o pakkujatel polnud kohustust esitada neid dokumente pakkumuses. 8. Tõendamaks oma vastavust Tingimuse nõuetele esitas Vaidlustaja hankepassis andmed kolme spetsialisti – G. A., G. B. ja T. I. – kohta. Vaidlustaja pakkumuses olid ka andmed eelnimetatud spetsialistide töökogemuse ja neil olevate sertifikaatide kohta (CV-d1). Vaidlustuskomisjon märgib, et hankepassis T. I. kohta esitatud andmed olid oluliselt väiksema mahuga, kui G. A. ja G. B. kohta esitatud andmed, sh ei olnud T. I. kohta hankepassis andmeid

1 Vaidlustuskomisjon kasutab käesolevas otsuses kõnealuste dokumentide nimetusena CV-d, nagu seda kasutavad menetlusosalised, kuigi tavamõistes CV-dega (Curriculum vitae e elulookirjeldus) ei ole käesoleval juhul tegemist – nt Spetsialisti CV sisaldab üksnes andmeid Spetsialisti sertifikaadi ning kolme viimase töökoha kohta (07.2019- 20.09.2024).

7 (9)

kogemuse pikkuse kohta – vastamata oli küsimus „Kvalifikatsioon/kogemus“. Ka T. I. CV-s olid andmed perioodi 07.2019 – 03.2023. a esitatud märgatavalt väiksemas mahus, kui andmed G. A. ja G. B. CV-des. 9. Hankijal tekkis kahtlus T. I. vastavuses Tingimusele ning 18.10.2024. a pöördus ta Vaidlustaja poole päringuga: [---] Hankija tuletab meelde, et hankelepingu ese on: a) infosüsteemide käsitsi OWASP ASVS versioon 4.0 (või uuema) tase 1, 2 või 3 (või samaväärse) veebirakenduse verifikatsiooninõuete turvatestimine, testimise raporti koostamine ning leitud vigade järelkontroll; b) „Red/Purple Teaming“ läbistustest eesmärgiga tuvastada infosüsteemi haavatavusi ja selle kaitsmise nõrkuseid lähtudes TIBER EU testiraamistikust, testimise raporti koostamine ning leitud vigade järelkontroll. Olete oma pakkumuses esitanud andmed spetsialisti T.[---] I.[---] kohta, kellele on 16.05.2022 väljastatud OSCP sertifikaat ja kellel on rakenduse testimise kogemus vastavalt OWASP ASVS 4.0 Level 2 alates 02.2023 ja täpsustamata tasemel testimise kogemus alates 01.2022. Kas hankija saab õigesti aru, et spetsialistil T.[---] I.[---] puudub hanke tingimustes nõutud vähemalt 3-aastane kogemus hankelepingu esemega sarnaste teenuste osutamisel. 25.10.2024. a vastas Vaidlustaja Hankija päringule: [---] T.[---] I.[---]-l on olemas 3-aastane töökogemus hankelepingu esemega sarnaste teenuste osutamisel. Igas kolmes töökohas, mis on CV-s välja toodud, on spetsialisti töö sisuks olnud mh veebirakenduste turvatestimine OWASP ASVS versioon 4.0 tase 1, 2 või 3 alusel, testimise raporti koostamine ning leitud vigade järelkontroll. See hõlmab eneses ka „Red/Purple Teaming“ läbistustesti kogemust ja pädevust eesmärgiga tuvastada infosüsteemi haavatavusi ja selle kaitsmise nõrkuseid lähtudes TIBER EU testiraamistikust, testimise raporti koostamist ja leitud vigade järelkontrolli. CV-s on märgitud, et perioodil 07.2019 kuni 01.2022 töötas spetsialist ettevõttes Keysight Ixia kvaliteedikontrolli insenerina. Selgitame, et Keysight Ixia ettevõtlus on turvatestimise seadmete müümine (https://www.keysight.com/us/en/products/network- security.html). Seega oli T.[---] I.[---] igapäevane töö veebirakenduste turvatestimine. Pärast Keysight Ixiat siirdus T.[---] I.[---] tööle turvatestijana ettevõttesse Infosys Consulting, kus tegeles samuti igapäevaselt veebirakenduste turvatestimisega. Hankijale on tõenäoliselt jäänud eksiarvamus seetõttu, et T.[---] I.[---] sai OSCP sertifikaadi 2022. aasta keskel, mis justkui viitab, et turvatestimisega on spetsialist tegelenud alles sellest ajast. See ei ole tõsi: sertifikaadi olemasolu ei ole turvatestimise eelduseks (ja vastupidi, sertifikaat ei näita, et isik tegelikult turvatestimisega tegeleb). Sertifikaadi tegi spetsialist Infosys Consulting juures töötades ja sel põhjusel, et Infosys Consulting müüb turvatestimist teenusena. Majast välja teenust müües on sertifikaat oluline, kuna see on klientidele kvaliteedimärk (samal põhjusel nõuab hankija sertifikaadi selles riigihankes). Keysight Ixia juures töötades ei olnud sertifikaati vaja, kuna Keysight Ixia müüb turvatestimise seadmeid, mitte ei müüda klientidele turvatestimise teenust. T.[---] I.[---] tegeles kvaliteedikontrolli insenerina küll igapäevaselt turvatestimisega, kuid majasiseselt, mitte väljapoole. Kui ettevõte on ise veendunud töötaja pädevuses ja töötaja ei müü klientidele teenust (vaid töötab ettevõtte poolt müüdavate seadmete parendamisega), ei ole sertifikaadi olemasolu ettevõttele oluline. Selgitame ka seda, et käesoleva vastuse andmine on lubatud ja ei kätke endas pakkumuse muutmist. Euroopa Kohtu ja Riigikohtu praktikas on jaatatud pakkuja võimalust korrigeerida pakkumusega seotud andmeid, kui on vaja vaid täpsustust (RKHKo 3-3-1-24-13, p 20; EKo C-599/10, p-d 36—40). Aktsepteerida saab selliste andmete täpsustamist või täiendamist, mis on varasemad kui pakkumuste esitamise tähtaeg (EKo C-336/12, p-d 36, 37 ja 39; EKo C-387/17, p-d 39 ja 40). Töökogemust ei ole võimalik tagantjärele omandada ega muuta. Kogemuse omandamise kohta täiendava selgituse andmine pärast pakkumuste esitamise tähtpäeva ei muuda midagi faktis, et T.[---] I.[---]-l on nõutud kogemus juba pakkumuse esitamise tähtpäeval objektiivselt omandatud. Pakkumuse muutmisega oleks tegemist nt siis, kui Wisercat täiendaks juba esitatud CV-d uue töökogemusega (või referentsprojektiga) (RKHKo 3-3-1-24-13, p 23). Praegu nii ei ole.2 10. 07.11.2024. a Riigihangete registris koostatud Kvalifitseerimise otsusega tegi Hankija muuhulgas otsuse jätta Vaidlustaja kvalifitseerimata, sest pakkuja ei vasta Tingimusele, kuna Pakkuja meeskonnas ei ole vähemalt kolme turvatestimise kvalifikatsiooniga spetsialisti, kellel on vähemalt 3-aastane kogemus hankelepingu esemega sarnaste teenuste osutamisel. Otsuse Lisas 16 põhjendab Hankija Vaidlustaja kvalifitseerimata jätmist järgmiselt: Pakkuja meeskonnas pidi olema vähemalt 3 turvatestimise kvalifikatsiooniga spetsialisti, kellel on

2 Vt Riigihangete register, Sõnumi ID 895021.

8 (9)

vähemalt 3-aastane kogemus hankelepingu esemega sarnaste teenuste osutamisel. Pakkujal on selliseid spetsialiste 2. Spetsialistil [---] on hankes nõutud kogemus alates 01.2022. Hankija ei loe spetsialisti varasemat kogemust kvaliteedikontrolli insenerina võrdväärseks turvatestimise teenuse osutamisega. 11. Kuna eeltoodud Hankija otsusest nähtub, et Hankija hinnangul on T. I.-l hankes nõutud kogemus alates 01.2022. a, ei pea Hankija hankelepingu esemega sarnaste teenuste osutamiseks T. I. töötamist kvaliteedikontrolli insenerina (QA Automation Engineer) ettevõttes Keysight Ixia (perioodil 07.2019 – 01.2022). Otsuses ei ole Hankija seadnud kahtluse alla T. I. kogemust alates 01.2022, s.o töötamise alustamisest ettevõttes Infosys Consulting. 12. Puudub vaidlus, et Vaidlustaja on esitanud pakutavate spetsialistide, sh T. I., CV-d juba pakkumuses, kuigi Tingimuse kohaselt puudus kohustus neid esitada enne Hankija vastavat nõuet (vt käesoleva otsuse p 6.1). Vaidlustaja hankepassis puuduvad andmed T. I. kogemuse pikkuse kohta ning T. I. CV-s on andmed töötamise kohta perioodil 07.2019 – 03.2023 esitatud väga lakooniliselt (kahe tööandja juures töötamise kohta on esitatud ettevõtte nimi, ajaperiood ja töökoht/amet). Hankija ei ole näinud RHAD-is ette CV vormi ega andmete hulka, mida selles pakutavate spetsialistide kohta esitada tuli, kuid Tingimusest nähtub, et pakkujatel tuli tõendada enda vastavust Tingimusele hankepassis ja spetsialistide CV-des esitatud andmetega ning sertifikaatidega, mistõttu mõistlik pakkuja pidi aru saama, et CV-des tuleb andmed spetsialistide kogemuse kohta esitada sellisel kujul ja ulatuses, mis võimaldavad kontrollida nende vastavust Tingimusele. Ei saa olla mõistlikku vaidlust, et T. I. CV-s, erinevalt G. A. ja G. B. CV-dest, kvalifikatsiooni kontrollimiseks vajalikke andmeid piisavas ulatuses esitatud ei olnud. 13. Olles tutvunud Vaidlustaja pakkumuses esitatud hankepassi ja T. I. CV-ga pöördus Hankija 18.10.2024. a Vaidlustaja poole küsimusega T. I kvalifikatsiooni kohta: Kas hankija saab õigesti aru, et spetsialistil T.[---] I.[---] puudub hanke tingimustes nõutud vähemalt 3-aastane kogemus hankelepingu esemega sarnaste teenuste osutamisel. Seega ei küsinud Hankija Vaidlustajalt täiendavaid andmeid ega selgitusi T. I. vastavuse kohta Tingimusele vaid kinnitust tekkinud kahtlusele, et T. I.-l nõutav kogemus puudub. Vaidlustaja seda ei kinnitanud vaid esitas omapoolsed väited selle kohta, miks T. I. kogemus Tingimusele vastab (vt käesoleva otsuse p 9). Mingeid täiendavaid tõendeid, mis tõendaksid Tingimusele vastavat kogemust T. I.-l, Vaidlustaja ei esitanud. 14. Vaidlustuskomisjon on seisukohal, et Hankija asus 18.10.2024. a õiguspäraselt välja selgitama T. I. Tingimusele vastavust, kuid tegi seda viisil, mis ei olnud sobiv asjaolude välja selgitamiseks. Selle asemel, et küsida Vaidlustajalt selgitust T. I. töötamise kohta kvaliteedikontrolli insenerina ettevõttes Keysight Ixia, mis Otsuse ning vaidlustusmenetluses esitatud selgituste kohaselt Hankijal kahtluse tekitas, formuleeris Hankija küsimuse viisil, mis ei eeldanudki sisulise vastuse esitamist, rääkimata tõendite esitamisest. 25.10.2024. a vastuses Hankijale Vaidlustaja siiski selgitas, miks T. I. töötamine ettevõttes Keysight Ixia andis Spetsialistile Tingimuses nõutud kogemuse. 15. Otsuses (vt käesoleva otsuse p 10) ega üheski teises hankemenetluses koostatud dokumendis ei ole Hankija kuidagi põhjendanud, miks ta ei loe T. I. töötamist kvaliteedikontrolli insenerina ettevõttes Keysight Ixia võrdväärseks turvatestimise teenuse osutamisega. Oma argumendid on Hankija esitanud alles vaidlustusmenetluses, kuid ka need põhinevad Hankija kahtlustele ja oletustele, mitte aga tuvastatud faktidele. 16. Vaidlustuskomisjon on seisukohal, et Vaidlustaja kvalifitseerimata jätmisel on Hankija jätnud välja selgitamata asjaolud, mis seonduvad T. I. töötamisega kvaliteedikontrolli insenerina ettevõttes Keysight Ixia (kas T. I. töö oli veebirakenduste turvatestimine). Kuna Hankijale oli Vaidlustaja pakkumusest T. I. töötamine seal teada, siis töökogemuse sisuga seotud täpsemate asjaolude väljaselgitamist selgitustega saab vaidlustuskomisjoni arvates pidada lubatavaks. Seega jättis Hankija talle ettenähtud kaalutlusõiguse põhjendamatult kasutamata. Samuti jättis Hankija Otsuses ja selle Lisas 16 põhjendamata, miks Hankija ei loe T. I. töötamist kvaliteedikontrolli insenerina võrdväärseks turvatestimise teenuse osutamisega. Seega ei vasta Hankija otsus Vaidlustaja kvalifitseerimata jätmiseks RHS § 98 lg 5 nõudele, mille kohaselt teeb hankija pakkuja kvalifitseerimata jätmise kohta põhjendatud kirjaliku otsuse ning tuleb tunnistada kehtetuks.

9 (9)

Vaidlustusmenetluse kulud 17. Kuna vaidlustusmenetlus lõpeb RHS § 197 lg 1 p-i 5 alusel vaidlustuse täieliku rahuldamisega, kuulub vaidlustusmenetluse kulude osas kohaldamisele RHS § 198 lg 1. 17.1. RHS § 198 lg 1 alusel kuulub Hankijalt Vaidlustaja kasuks välja mõistmisele vaidlustuse esitamisel tasutud riigilõiv 640 eurot. 17.2. Vaidlustaja esitas tähtaegselt taotluse lepinguliste esindajate kulude väljamõistmiseks kogusummas 1920 eurot (käibemaksuta), kokku 12,8 tunni õigusabi osutamise eest, keskmise tunnihinnaga 150 eurot. Vaidlustuskomisjon leiab, et asja keerukust ja materjalide mahukust silmas pidades on Vaidlustaja lepinguliste esindajate kulud mõnevõrra ülepaisutatud. Vaidlustusasi ei ole sisult keeruline ega mahukas. Vaidlustuskomisjoni hinnangul on Vaidlustaja lepinguliste esindajate kulud põhjendatud ja vajalikud 9 tunni ulatuses, mistõttu tuleb Hankijalt välja mõista 1350 eurot käibemaksuta. 17.3. Hankija menetluskulud jäävad tema enda kanda. (allkirjastatud digitaalselt) Taivo Kivistik