3 (11)
5.5.3. Ka tarkvaral on mittefunktsionaalsed nõuded (non-functional requirement ehk
NFR-id), mida nimetatakse ka „arhitektuurilisteks omadusteks“. Olgu tegemist veebisaidi,
mobiili- või töölauarakendusega, sellel peaks olema lõppkasutajate vajaduste rahuldamiseks
teatud kvaliteeditunnuste komplekt. Funktsionaalsed nõuded määratlevad, mida süsteem
(tarkvara) peaks tegema, sätestavad mittefunktsionaalsed nõuded kuidas (milline) tugisüsteem
(tarkvara) peaks olema lisaks funktsionaalsele tarkavarale.
5.5.4. Seega TK lisa 1 veerud G kuni Y ei sätesta seda, mis tarkvaraga on tegemist ja kas see
peab olema ISO 27001 järgi sertifitseeritud, vaid seda, mida pakutav teenus/tarkvara, mis peab
olema ISO 27001 järgi sertifitseeritud (p 1.3.2, rida 21, veerud C kuni F), peab sisaldama
(milliseid NFR-e).
Tulenevalt ülaltoodust tähendab TK lisa 1 p 1.3.2 (rida 21) üksnes seda, et vastav teenus peab
olema ISO 27001 järgi sertifitseeritud (p 1.3.2, rida 21, veerud C kuni F) ja ei pea hõlmama
„Solution design“-i (veerg P) ega „Development“-i (veerg Q). Seega on Kolmanda isiku viited
„Solution design“-ile (veerg P) ja „Development“-ile (veerg Q) asjakohatud. Need ei ole
seotud ega mõjuta nõuet, et pakutav teenus/tarkvara peab olema ISO 27001 järgi
sertifitseeritud. Kolmanda isiku pakkumuses toodud teenus vastavatele nõudetele ei vasta.
5.5.5. TK p-i 6.1 kohaselt peab pakkuja pakkumuse esitamisel ja tööde teostamisel arvestama
Eesti Energia kontserni üldnõuetega, arendusprotsessi nõuetega ning tarkvarale kehtestatud
arhitektuursete, andmehalduse ning mittefunktsionaalsete nõuetega.
Olukorras, kus TK kohaselt peaks teenus/tarkvara/NFR vms olema ISO 27001 järgi
sertifitseeritud, kuid ta seda tegelikult ei ole, ei vasta pakutav teenus RHAD-i tingimustele
ning pakkumus tuleb tagasi lükata.
5.5.6. Pakkumuse esitamisel ega ka käesoleval ajal ei ole Kolmanda isiku pakkumuses
pakutud teenus ISO 27001 kohaselt sertifitseeritud.
5.5.7. Meelevaldne on Hankija vastuses toodud seisukoht, et Eesti Energia kontserni
mittefunktsionaalsetes nõuetes on „MUST“ märkega nõuded kohustuslikud ning „SHOULD“
märkega nõuded soovituslikud. Vastav asjaolu ei sisaldu üheski RHAD-i dokumendis. Seega
ei ole tegemist RHAD-i nõuetega ning need ei kuulu käesolevas asjas kohaldamisele.
Isegi kui asuda seisukohale, et RHAD-i saab tõlgendada nii, nagu tahteavalduse saajaga
sarnane mõistlik isik seda samadel asjaoludel mõistma pidi, siis ei saa pakkujaga sarnane
mõistlik isik seda samadel asjaoludel mõista selliselt, et tingimus ingliskeelse märkega
„SHOULD“ ei ole kohustuslik. Inglisekeelne sõna „should“ tähendab eesti keeles, kui seda ei
kasutata konkreetses lauses, et tähistada kohustust ja ootust, milline asi peaks olema.
5.5.8. Isegi kui asuda seisukohale, et Hankija hangib tarkvara teenust on-premise lahendusega,
siis RHAD-i kohaselt peaks on-premise lahendus siiski olema ISO 27001 sertifitseeritud.
Selliselt sai vastavatest nõuetest pakkumuse esitamisel aru ka Kolmas isik, mis täiendavalt
kinnitab seda, et tegemist oli pakkujate jaoks kohustusliku tingimusega või vähemalt said kõik
pakkujad pakkumuste esitamisel sellest aru ja lähtusid sellest.
5.5.9. Olukorras, kus „SHOULD“ mõiste ei tähenda Hankija väitel nõuet, mida tuleks täita,
võib väita, et näiteks TK lisa 1 p-i 13.1.3 puhul võib pakkuja jätta täitmata nõude, kus nõutakse
veateadete logimist *Logging of Errors: All errors leading to custom error page displays must
be logged for analysis, enabling the identification of recurring issues and improving overall
system reliability. Sellest tulenevalt olukorras, kus pakkuja ei täida käesolevat nõuet võib
Hankija hankida infosüsteemi, mille vigade logimine on meelevaldne ning pakkuja otsustada
ja mitte kohustuslik. Selline lähenemine ei ole valdkonna hea tava osa.
5.5.10. Kui Riigihanke raames hangitava vastava teenuse ISO 27001 nõuetele vastav
sertifitseerimine oleks vabatahtlik ehk see ei oleks sisuliselt oluline ja ei omaks tähtsust, siis
kaotab TK lisa 1 p 1.3.2 igasuguse tähenduse. Pealegi, kuna ISO 27001 sertifitseerimine
mõjutab otseselt teenuste ja tööde läbiviimise korda ehk ISO 27001 järgi teenuste osutamine
on kallim ning pakkujad, kellel ISO 27001 sertifitseerimine puudub on eelistatud olukorras
(saavad teha soodsamaid pakkumisi). Kui vastavat asjaolu oleks Vaidlustaja teadnud varem
oleks ka tema pakkumine olnud Kolmanda isiku pakkumisest madalam. Seega on RHAD
dokumendid vastuolulised ja ebaselged ning ainuüksi juba sellest lähtuvalt tuleb Riigihange
tunnistada kehtetuks.