KAMMARRÄTTEN I SUNDSVALL iKONKURRENSVERKET �DI� - o '3 - OCf DOM 2019-08-09 Meddelad i Sundsvall Sida 1 (4) Mål nr 639-19 Avd onr ooss - Konica Minolta Business Solutions Sweden Aktiebolag, 556435-4479 Ombud: Advokaterna Malin Albert och Sofia Falkner Advokatfirman Hammarskiöld & Co MOTPART Sundsvalls kommun ÖVERKLAGAT AVGÖRANDE Förvaltningsrätten i Härnösands dom den 26 februari 2019 i mål nr 3191-18, se bilaga A SAKEN Offentlig upphandling KAMMARRÄTTENS AVGÖRANDE Kammarrätten ändrar förvaltningsrättens dom och beslutar att upphandlingen :far avslutas först efter att rättelse skett på så sätt att Konica Minolta Business Solutions Sweden Aktiebolags anbud ska utvärderas. Aktbil I KLAGANDE Dok.Id 180209 Postadress Box 714 851 21 Sundsvall Besöksadress Södra Tjärngatan 2 Telefon Telefax 060-18 66 00 E-post: kammarrattenisundsvall@dom.se w.Vvv.kammarrattenisundsvall.se Expeditionstid måndag - fredag 08:00-16:00 KAMMARRÄTTEN DOM Sida 2 I SUNDSVALL Mål nr 639-19 YRKANDEN M.M. Konica Minolta Business Solutions Sweden Aktiebolag (Konica) yrkar i första hand att upphandlingen :far avslutas först efter att rättelse skett på så sätt att Konicas anbud utvärderas. I andra hand yrkar Konica att upphandlingen ska göras om. Konica vidhåller vad som tidigare anförts och tillägger bl.a. följande. Det har i överprövningsprocessen blivit tydligt att det är ostridigt att Konicas offererade lösning uppfyller säkerhetskravet i 8.21 i upphandlingsdokumentet. Samtliga omständigheter och fakta kring Konicas offererade lösning framgår av det inlämnade anbudet. Konica har inte angett någon ny information eller på annat sätt ändrat eller kompletterat innehållet i anbudet i samband med överprövningsprocessen. I upphandlingen har det inte ställts krav på att anbudsgivare ska bevisa eller beskriva att eller hur aktuellt säkerhetskrav uppfylls. Vid tvekan om eller hur Konicas offererade lösning uppfyller kravet 8.21 hade kommunen kunnat begära dokumentation kring uppfyllandet av just det kravet. Att kommunen inte gjort det ska inte ligga Konica till last. Konica mottog utvärderingsprotokollet och tilldelningsbeslutet med stor förvåning eftersom frågan om bolagets anbud uppfyllde kraven i 8.21 var en icke-fråga för bolaget då anbudet redan kvalificerats, dvs. kommunen hade gjort bedömningen att bolaget uppfyllde samtliga obligatoriska krav. Någon särskild tvekan kring detta krav framfördes aldrig av kommunen och Konica har i anbudet angett att "kravet uppfylls". Konica har således vid tidpunkten för utvärdering objektivt uppfyllt aktuellt säkerhetskrav. Genom att diskvalificera Konicas anbud, trots att det uppfyller samtliga obligatoriska krav, har kommunen brutit mot likabehandlings- och transparensprincipen och således mot 4 kap. 1 § lagen (2016:1145) om offentlig upphandling (LOU). KAMMARRÄTTEN DOM Sida 3 I SUNDSVALL Mål nr 639-19 Konica har lämnat lägst anbudspris i upphandlingen och om anbudet hade utvärderats hade Konica sannolikt tilldelats kontraktet. Konica har därigenom lidit eller riskerat att lida skada på så sätt som anges i 20 kap. 4 och 6 §§ LOU. Sundsvalls kommun (kommunen) anser att överklagandet ska avslås. Kommunen hänvisar till vad som tidigare anförts och tillägger att vad Konica framfört i sitt överklagande inte föranleder någon annan bedömning från kommunens sida. SKÄLEN FÖR KAMMARRÄTTENS AVGÖRANDE Frågan i målet är om Konicas anbud uppfyller de i upphandlingen ställda ska-kraven och om kommunen därmed agerat i strid med LOU och principerna om likabehandling och transparens genom att diskvalificera Konicas anbud. Konica har framfört att upphandlingsdokumentets krav 8.26 och 8.27 innehåller en rad otydligheter vilket har påverkat utformningen av bolagets anbud. Såvitt gäller dessa två krav gör kammarrätten samma bedömning som förvaltningsrätten. Det finns därmed inte skäl för ingripande enligt LOU på den grunden. Konica har även anfört att bolagets offererade lösning uppfyller kravet 8.21 i upphandlingsdokumentet. I punkten 8.21 i upphandlingsdokumentet anges följande: Samtliga inloggningsvägar på hård- eller mjukvara i system oavsett protokoll ska vara lösenordsskyddade och anslutningen krypterad. Exempelvis webbgränssnitt ska använda https, filöverföring med SFTP istället för FTP och om konfiguration över snmp behövs ska det ske över SNMPv3. KAMMARRÄTTEN I SUNDSVALL DOM Sida 4 Mål nr 639-19 Konica har, i enlighet med de instruktioner som :framgår i upphandlings­ föreskrifterna, intygat att bolaget uppfyller kraven i upphandlings­ dokumentets punkt 8.21. Något krav på att en anbudsgivare ska bevisa att eller beskriva hur de aktuella kraven uppfylls finns inte i denna punkt. Kammarrätten kan således konstatera att Konica intygat att bolaget uppfyller kraven i 8.21. Vid tvekan från kommunens sida har det ankommit på kommunen att, enligt punkten 3.8 i upphandlingens administrativa föreskrifter, inhämta bevis som styrker uppfyllande av ställda krav. Det är något som kommunen inte har gjort. Att kommunen efter anbuds­ genomgång gett Konica möjlighet att skriftligen bekräfta vilka portar och protokoll som bolagets lösning innefattar är inte tillräckligt för att bolaget ska ha förstått att kommunen ville veta om kraven i upphandlings­ dokumentets 8.21 var uppfyllda. Det kan inte heller ha ankommit på Konica att självmant lämna in bevisning eller beskrivning av ställda krav då det inte framgår av upphandlingsdokumenten att så ska ske. Kommunen har därmed inte haft rätt att på denna grund diskvalificera Konicas anbud. Av utvärderingsprotokollet :framgår att Konicas anbudspris varit lägre än övriga anbudsgivares priser. Förfarandet har därmed medfört att Konica i vart fall riskerat att lida skada. Det finns därmed skäl för ingripande enligt LOU. Den konstaterade bristen har inte påverkat upphandlingens konkurrensuppsökande skede. Kammarrätten anser därför att rättelse genom ny utvärdering där Konicas anbud ska ingå är en tillräcklig åtgärd. Konicas överklagande ska således bifallas. HUR MAN ÖVERKLAGAR, se bilaga B (formulär 9). Cecilia Landelius kammarrättslagman ordförande Carina Ferm Broden kammarrättsråd Sara Poulsen tf. kammarrättsassessor referent FÖRVALTNINGSRÄTTEN DOM Mål nr I HÄRNÖSAND 2019-02-26 3191-18 E Meddelad i Härnösand SÖKANDE Konica Minolta Business Solutions Sweden Aktiebolag, 556435-4479 BOX 1125 164 22 Kista Ombud: Advokaterna Malin Albert och Sofia Falkner Advokatfirman Hammarskiöld & Co Box 2278 103 17 Stockholm MOTPART Sundsvalls kommun 851 85 Sundsvall Ombud: Advokaten Göran Andersson och biträdande juristerna Gustav Delen och Ted Thyren Hellström Advokatbyrå KB Box 7305 103 90 Stockholm SAKEN Överprövning enligt lagen (2016:1145) om offentlig upphandling, LOU FÖRVALTNINGSRÄTTENS AVGÖRANDE Förvaltningsrätten avslår ansökan om överprövning. Sida 1 (17) Dok.Id 160001 Postadress Box 314 871 27 Härnösand Besöksadress Backgränd 9 Telefon Telefax 0611-46 06 00 0611-51 18 20 E-post: forvaltningsratteniharnosand@dom.se ,vww.forvaltningsrattenihamosand.domstol.se Expeditionstid måndag-fredag 08:00-16:00 Sida 2 FÖRVALTNINGSRÄTTEN DOM 3191-18 I HÄRNÖSAND BAKGRUND Sundsvalls kommun (kommunen) genomför upphandlingen Print som tjänst med dnr UH-2018-110. Tilldelningsbeslut fattades den 5 juli 2018 varvid Office Mitt AB antogs som leverantör. Upphandlingen genomförs med öp­ pet förfarande och omfattar ett tjänsteavtal för hela Sundsvalls kommunkon­ cern samt helägda eller delägda bolag. Avtalstiden är fem år samt ett av­ vecklingsår där befintlig leverantörs tjänster ersätts med ny leverantörs tjänster. YRKANDEN M.M. Konica Minolta Business Solutions Sweden Aktiebolag (Konica) ansöker om överprövning och yrkar att förvaltningsrätten ska besluta att upphand­ lingen ska göras om. Till stöd för ansökan anför Konica i huvudsak föl­ jande. Upphandlingen avser en printtjänst där leverantören väijer sin egen lösning för hur kraven på tjänsten ska uppfyllas. Tjänsten, vilken även in­ kluderar ägandet av hårdvaran (skrivare/kopiatorer och tillvalstjänster) ska utföras av vinnande leverantör. Grund för utvärdering i upphandlingen är ekonomiskt mest fördelaktigt anbud baserat på bästa förhållandet mellan pris och kvalitet. Av utvärderingsprotokollet framgår att Konica lämnat det lägsta anbudspriset samt att Konicas anbud förkastades innan utvärdering p.g.a. bristande uppfyllelse av det obligatoriska kravet i upphandlingsdoku­ mentens avsnitt 8.21. Konica har därmed fråntagits möjligheten att tilldelas kontrakt för upphandlingen och har därigenom lidit eller riskerat att lida skada på så sätt som anges i 20 kap. 4 § och 6 § LOU. Anbudet uppfyller inte obligatoriska krav Det obligatoriska kravet i avsnitt 8.21 i upphandlingsdokumenten har utfor­ mats i strid med 9 kap. 6 § LOU och 4 kap. 1 § LOU, särskilt principerna om likabehandling och öppenhet. Kravet är att samtliga inloggningsvägar på hård-eller mjukvara i system oavsett protokoll ska vara lösenordsskyddade och anslutningen krypterad. Webbgränssnitt ska exempelvis använda Sida 3 FÖRVALTNINGSRÄTTEN DOM 3191-18 I HÄRNÖSAND HTTPS, filöverföring med SFTP istället för FTP och om konfiguration över SNMP behövs ska det ske över SNMPv3. Som Konica uppfattar det ska le­ verantörens lösning för print dels vara lösenordsskyddad vid inloggning på hård- och mjukvara och dels kommunicera via kryptering. Av Konicas an­ bud samt anbudsbilagorna 5_4.1 och Portar framgår att kravet uppfylls. FTP, SFTP, WebDav är exempel på protokoll eller regler som används för att datorer ska kunna kommunicera med varandra. En dator har olika portar för att ansluta enheter till datorn. Dessa protokoll och portar används vid överföring av filer. Innehåll som skickas med stöd av FTP skickas i klartext, d.v.s. utan lösenordsskydd och kryptering. För att skapa lösenordsskydd och kryptering behöver andra protokoll och/eller portar användas, t.ex. protokol­ len SFTP och FTPS. Även protokollet WebDav kan användas. WebDav är en förlängning av HTTP och använder sig av port 80 för enkel filöverföring och port 443 för säkerhetsskyddad filöverföring. Det finns alltså olika typer av protokoll som kan användas för att uppnå lösenordsskyddad och krypte­ rad överföring. Det har inte varit ett krav i upphandlingen att den tekniska lösningen som offereras på något sätt ska säkerställa inloggning eller kom­ munikation via samtliga av kommunen specificerade protokoll. Kommunen har även vidgått att WebDav/HTTPS är ett protokoll som kan användas för att uppfylla kravet i avsnitt 8.21. Så som Konica förstår det menar kommunen att kravet inte är uppfyllt ef­ tersom Konica inte har stöd för filöverföringstypen SFTP. Kravet uppfylls istället med stöd av port 443 och protokollet WebDav/HTTPS och den lös­ ningen har såvitt Konica förstår inte ifrågasatts av kommunen. Att kommu­ nen förkastat Konicas anbud synes främst bygga på ett missförstånd som uppstod vid anbudsgenomgången. I direkt anslutning till texten "Scan to FTP" i anbudsbilaga 5_4.1 står texten "Webdav Port 443". Det råder således ingen tvekan om att Konica har angett att WebDav-protokollet kan användas för att åstadkomma den säkerhetsnivå som efterfrågats i kravet och designat Sida 4 FÖRVALTNINGSRÄTTEN DOM 3191-18 anbudet utifrån det obligatoriska kravet. Kommunen verkar ha missförstått Konicas anbudsbilaga Portar. Kommunen menar att det inte finns någon hänvisning till att kommunikation kan eller ska köras på alternativt proto­ koll. Av bilagan framgår att det är obligatoriskt att använda port 443 och protokoll WebDav/HTTPS för att genomföra en WebDav-skanning. En klartextscanning ska ske genom port 21 och med protokoll FTP. Konicas lösning kräver inte någon annan inloggning eller anslutning än Web­ Dav/HTTPS. När den inloggningen och anslutningen används är inga andra protokoll, såsom FTP, möjliga att använda eftersom övriga inloggningsvä­ gar och anslutningar låses. Det har därför inte varit aktuellt för Konica att nämna eller säkerställa hur eller att andra möjliga protokoll på marknaden uppfyller kravet i avsnitt 8.21. Rent tekniskt kan Konicas lösning givetvis använda andra protokoll t.ex. FTP. Det är dock ur ett tekniskt perspektiv inte möjligt att tillämpa den tolk­ ning som kommunen gör om att det inte är tillräckligt att en eller flera inloggningsvägar i systemet uppfyller kraven om inte samtliga inloggnings­ vägar gör det. Kravet kan för det första inte tolkas så att det avser samtliga protokoll som är tillgängliga eftersom t.ex. FTP inte är krypterad. För det andra använder samtliga protokoll som är lösenordsskyddade med krypterad anslutning och som nämnts i detta mål så som SFTP, FTPS och Web­ Dav/HTTPS särskilda standardportar till hård- eller mjukvara. Begreppet samtliga inloggningsvägar kan alltså inte heller tolkas så att det avser samt­ liga portar på enheten eftersom SFTP använder port 22 som standard, FTPS port 21 och WebDav/HTTPS port 443. Det går visserligen att konfigurera protokollen och portarna så att andra portar kan användas men det skulle inte fungera i praktiken eftersom andra portar redan är upptagna och an­ vänds som standardportar för att koppla ihop andra hårdvaror eller system utanför print-lösningen. För att åstadkomma en säkerhetsskyddad inlogg­ ning till en enhet genom ett visst protokoll låses istället alla andra portar som inte används, på så sätt blir samtliga inloggningsvägar oavsett protokoll I HÄRNÖSAND Sida 5 FÖRVALTNINGSRÄTTEN DOM 3191-18 I HÄRNÖSAND säkerhetsskyddade. Detta gäller oavsett vilken av de nämnda säkerhetsskyd­ dade protokollen som används och det är också så Konicas lösning fungerar. Konica bjöds in till en anbudsgenomgång av de obligatoriska kraven i av­ snitt 8.26 och 8.27. Det är riktigt som kommunen skriver att Konicas repre­ sentant svarade nej på frågan om skanning-funktionen stöder SFTP eller FTPS. Svaret är rätt eftersom skanningen inte stöder STFP eller FTPS utan WebDav/HTTPS. Vidare är det också riktigt att Konicas representant be­ kräftade att om lösningen för skanning-funktionen till FTP skulle användas så skulle lösningen ske i klartextformat och inte i krypterat format. Det är endast om WebDav/HTTPS används som lösningen kan ske i krypterat for­ mat. Konica fick dock aldrig frågan om vilken teknisk specifikation som bo­ laget skulle använda för att uppfylla den tekniska säkerhetsfunktionen i kra­ vet i avsnitt 8.21. Eftersom Konica uppfyllde kravet, och eftersom genom­ gången gällde kraven i avsnitt 8.26 och 8.27, ansåg inte Konica att det hade någon betydelse att frågan inte diskuterades ytterligare vid genomgången. Kommunen synes nu göra en sak av det stod exempeldesign på skissen i an­ budsbilagan 5_4.1 och att detta skulle betyda att Konica inte har angett att det är den design av nätverket som ska användas. Det påståendet kan inte tolkas som något annat än en efterhandskonstruktion. Kommunen har haft möjlighet att begära förtydligande om något kring Konicas lösning i denna del varit oklart men har inte gjort det, varken vid anbudspresentationen eller på något annat sätt. Konica har inte haft någon skyldighet eller rättighet att ta upp frågan eftersom det inom ramen för ett öppet förfarande ankommer på den upphandlande myndigheten att under en anbudspresentation ställa frågor till leverantören om något i anbudet anses vara otydligt. Anledningen till att det står exempeldesign är för övrigt för att följa kommunens eget ob­ ligatoriska krav där beställaren förbehåller sig rätten att bestämma vilka por­ tar och protokoll som får köras. Vid en tjänsteupphandling av print finns det Sida 6 FÖRVALTNINGSRÄTTEN DOM 3191-18 inte heller möjlighet att genom ett anbud presentera en komplett teknisk lös­ ning eftersom en sådan alltid måste implementeras och anpassas i förhål­ lande till den IT-miljö som råder hos den upphandlande myndigheten. Huvudregeln i LOU är att upphandlingsdokumenten inte ska precisera t.ex. typ av teknisk specifikation. I 9 kap. 4 § LOU stadgas att tekniska specifi­ kationer inte får innehålla hänvisningar till fabrikat, ursprung, varumärke, patent, typ eller tillverkning om detta leder till att vissa företag gynnas eller missgynnas. Endast om det är omöjligt att beskriva föremålet för upphand­ lingen tillräckligt preciserat och begripligt får sådan hänvisning ske. Om så sker ska den tekniska specifikationen åtföljas av orden "eller likvärdigt" och undantaget ska tillämpas restriktivt (se t.ex. Kammarrätten i Sundsvalls dom i mål nr 2685--2687-12). Lagtextens krav på att tekniska specifikationer av de produkter som är föremål för upphandlingen ska följas av orden "eller likvärdigt" gör att likabehandlingsprincipen uppfylls, d.v.s. att leverantörer som kan leverera det som är likvärdigt inte avstår från att anmäla intresse för upphandlingen. Av kravet i 8.21 är det tydligt av ordet "oavsett" i första meningen att olika protokoll kan användas och av andra meningen framgår ett antal exempel för att uppfylla den säkerhetsnivå som krävs för lösenordsskydd och krypte­ rad användning. Ett sådant exempel är "SFTP istället för FTP". Eftersom SFTP är en typ av protokoll måste kravet tolkas så att de exempel som anges i andra meningen i kravet endast är exempel på typ av protokoll och att likvärdiga protokoll också kan användas. Om kravet ska tolkas på så sätt att enbart protokollet SFTP får användas och att anbudsgivare som använder sig av motsvarande men alternativa säkerhetslösningar inte uppfyller kravet skulle det strida mot 9 kap. 6 § LOU och likabehandlingsprincipen. Även tolkningen om att samtliga portar som normalt kan användas ska vara lö­ senorddskyddade strider mot 9 kap. 6 § LOU eftersom det inte är möjligt för I HÄRNÖSAND Sida 7 FÖRVALTNINGSRÄTTEN DOM 3191-18 någon anbudsgivare att genomföra ett sådant tekniskt krav då det innebär att även portar som inte teknisk kan lösenordsskyddas skulle innefattas. Sammantaget visar ovanstående att kommunen har förkastat Konicas anbud trots att det inte framkommit något som talar mot att Konicas lösning upp­ fyller det obligatoriska kravet i avsnitt 8.21. Det missförstånd som uppstått är olyckligt men ska inte ligga Konica till last och eftersom anbudet uppfyll­ ler samtliga obligatoriska krav så ska det utvärderas. Otydligt utformade obligatoriska krav De obligatoriska kraven som anges i upphandlingsdokumentens avsnitt 8.26 och 8.27 innehåller flera otydligheter. Meningen "beställaren förbehåller sig rätten att bestämma vilka som får köras och inte" är inte helt tydlig utifrån att olika datorer kan ha stöd av olika typer av protokoll och ändå uppnå samma tekniska funktion. Oaktat detta angav Konica att vilka protokoll och portar som avses användas för utenheterna (d.v.s. de fysiska maskinerna) och serverinstallationerna är något som bestäms i samverkan med kommu­ nen under införandeprocessen eftersom IT-infrastrukturen ägs av kommu­ nen. Om kraven ska tolkas så att enbart protokollet SFTP får användas skulle kravet inte bara strida mot 9 kap. 6 § LOU utan även mot principen om öp­ penhet i 4 kap. 1 § LOU då kraven inte skulle vara tillräckligt tydligt för att ett anbud skulle kunna förkastas på den grunden att det avviker från denna tolkning. Den här principen medför främst en skyldighet för den upphand­ lande myndigheten att skapa öppenhet i upphandlingen. För att anbudsgi­ varna ska ges samma förutsättningar för anbudsgivning måste upphand­ lingsdokumenten vara klara och tydliga och innehålla samtliga krav på det som upphandlas. Höga krav ställs därför på noggrannhet, tydlighet och transparens i alla delar. Obligatoriska krav får i linje med det inte framstå som godtyckliga eller osakliga (se t.ex. RÅ 2010 ref. 78, Kammarrätten i I HÄRNÖSAND Sida 8 FÖRVALTNINGSRÄTTEN DOM 3191-18 Sundsvalls dom i mål nr 2545-13 och Kammarrätten i Jönköpings dom i mål nr 4342--4357-11). Otydligheten i kraven i förhållande till vad kommunen verkar ha avsett har påverkat utformningen av anbuden. Konica har inte kunnat förutse hur kraven skulle komma att tillämpas och därmed fråntagits möjligheten att utforma och lämna ett konkurrenskraftigt anbud. Kommunen bestrider bolagets begäran om överprövning och anför i huvud­ sak följande. Fem leverantörer inkom med anbud i upphandlingen, samtliga anbudsgivare kvalificerade sig för anbudsprövning. Vid anbudsprövningen förkastades två av anbuden, bland dem anbudet från Konica efter att det konstaterats att inte samtliga obligatoriska krav i upphandlingsdokumenten uppfylldes. Av upphandlingsdokumenten framgår ett flertal obligatoriska krav avseende tjänsten, bl.a. gällande IT-säkerhet. Kommunen har agerat i enlighet med bestämmelserna i LOU och Konica har därför inte lidit eller riskerat att lida skada. Anbudet uppfyller inte obligatoriska krav Efter att kommunen fastställt att Konica och dess anbud uppfyllt samtliga kvalificeringskrav i upphandlingen gick anbudet vidare för prövning av de obligatoriska kraven. Kommunen bedömde att dessa var uppfyllda varför anbudet gick vidare till utvärdering. Konica bjöds in till en intervju och an­ budsgenomgång där flera representanter från både kommunen och Konica deltog. Vid genomgången tillfrågades en av Konicas representanter om be­ tydelsen av texten "Scan to FTP", en text som återfinns i en skiss över ex­ empeldesign för kommunen. På frågan om scanning-funktionen till FTP stö­ der något krypterat format såsom SFTP eller FTPS svarade representanten nej. För att klargöra svaret frågade en av kommunens representanter om det då var korrekt uppfattat att lösningen för scanning-funktionen till FTP inne­ bär att lösningen sker i klartextformat och inte i krypterat format i enlighet med upphandlingens obligatoriska krav i avsnitt 8.21. Svaret på frågan var ja. Konica presenterade inte någon exakt teknisk lösning i fråga om portar I HÄRNÖSAND Sida 9 FÖRVALTNINGSRÄTTEN DOM 3191-18 och protokoll och visade vid anbudspresentationen således inte att säker­ hetskravet i avsnitt 8.21 uppfylls. I syfte att säkerställa att kommunen uppfattat uppgifterna i anbudet och den information som lämnades vid anbudsgenomgången rätt gavs Konica möj­ lighet att skriftligen bekräfta vilka portar och protokoll som bolagets lösning innefattade. Kommunen fick då en förtydligande lista över vilka portar och protokoll som används i Konicas lösning. Av listan framgår att det är obli­ gatoriskt med datakommunikation via port 21 över protokollet FTP. Någon hänvisning till att kommunikation kan eller ska köras på alternativt proto­ koll finns inte. Det framgår inte heller av listan i övrigt att denna kommuni­ kation ska ske på ett annat sätt och därmed krypterat. Med anledning av detta bedömdes anbudet inte uppfylla de obligatoriska kraven i avsnitt 8.21 eftersom samtliga inloggningsvägar på hård- eller mjukvara i system oavsett protokoll ska vara lösenordsskyddade och anslutningen krypterad. Att en el­ ler flera inloggningsvägar i systemet uppfyller kraven är således inte till­ räckligt. Kommunen instämmer i att en användning av port 443 och protokollet Web­ Dav kan användas för en lösenordsskyddad och krypterad anslutning på hård- och mjukvara. Ovanför den aktuella skissen i bilagan framgår dock att det är fråga om en exempeldesign, det framgår inte att det är denna design av nätverket som ska användas. Kommunen har därför inte kunnat fastställa om kravet i avsnitt 8.21 är uppfyllt eller inte. Det har inte heller varit tydlig av den skriftliga komplettering som Konica lämnat att någon av de tidigare angivna portarna eller protokollen inte skulle innefattas i den offererade lös­ ningen. Kommunen har därför utgått från att samtliga uppräknade portar och protokoll inbegripits i Konicas offererade lösning. Konica har således inte vid något av de angivna tillfällena visat att kravet i avsnitt 8.21 är uppfyllt och att samtliga inloggningsvägar på hård- eller mjukvara i system oavsett I HÄRNÖSAND Sida 10 FÖRVALTNINGSRÄTTEN DOM 3191-18 protokoll är lösenordsskyddade och anslutningen krypterad. Att Konica se­ nare, efter att tilldelningsbeslut meddelats, har förtydligat att endast port 443 och protokollet WebDav/HTTPS är aktuellt att använda saknar betydelse ef­ tersom kommunen för att uppnå likabehandling endast får beakta det som faktiskt framgår av ett anbud (se t.ex. Kammarrätten i Jönköpings dom i mål nr 2755-13). Otydligtutformadeobligatoriskakrav EU-domstolen har uttalat att samtliga villkor och bestämmelser i ett upp­ handlingsdokument ska vara formulerat klart, precist och entydigt för att alla rimligt informerade och normalt omsorgsfulla anbudsgivare ska kunna förstå den exakta innebörden av dessa och tolka dem på samma sätt (se t.ex. C-27/15, Pizzo, p.36). Det obligatoriska kravet i avsnittet 8.21 är utformat så att funktionen som ska uppnås anges i den första meningen. Därefter följer tre olika exempel på hur funktionen kan uppnås. Någon begränsning som innebär att det är de enda tillåtna sätten att uppfylla kravet finns inte. Kravet kan därmed inte uppfattas på något annat sätt än som klart, precist och entydigt. Det framgår också av Konicas ansökan att de har uppfattat kravet på det sättet och utfor­ mat sitt anbud utifrån det. De exempel som gjorts avseende hur den tekniska funktionen kan uppnås inte avsett någon hänvisning till teknisk specifikation som lett till att någon eller några leverantörer gynnas eller missgynnas. Kra­ vet har inte heller på den grunden inneburit en överträdelse av bestämmel­ sen i 9 kap. 6 § LOU. Vad avser de obligatoriska kraven i avsnitt 8.26 och 8.27 inleds även de med att anbudsgivaren ska beskriva vilka portar och protokoll som respek­ tive utenhet eller serverinstallation är beroende av för sin nätverkstrafik re­ spektive kommunikation. Därefter följer att anbudsgivaren ska medge att I HÄRNÖSAND Sida 11 FÖRVALTNINGSRÄTTEN DOM 3191-18 I HÄRNÖSAND kommunen vid och efter driftsättning får bestämma vilka portar och proto­ koll som får köras och inte samt garantera att detta sedan kan efterlevas ute i produktion. Konica har i sitt anbud lämnat efterfrågade obligatoriska upp­ gifter och därigenom uppfyllt det aktuella kravet. Inte heller avseende dessa krav torde det därmed föreligga någon tveksamhet eller otydlighet i fråga om hur de ska tolkas och de har därför inte heller här varit fråga om en över­ trädelse av bestämmelsen i 9 kap. 6 § LOU. SKÄLEN FÖR AVGÖRANDET Bestämmelserm.m. Upphandlande myndighet ska behandla leverantörer på ett likvärdigt och icke-diskriminerande sätt samt genomföra upphandlingar på ett öppet sätt. Upphandlingar ska vidare genomföras i enlighet med principerna om ömse­ sidigt erkännande och proportionalitet (4 kap. 1 § LOU). Efter ansökan av en leverantör som anser sig ha lidit eller kunna komma att lida skada får allmän förvaltningsdomstol överpröva en upphandling (20 kap. 4 § LOU). Om den upphandlande myndigheten har brutit mot de grundläggande princi­ perna i 4 kap. 1 § LOU eller någon annan bestämmelse i samma lag och detta har medfört att leverantören har lidit eller kan komma att lida skada, ska rätten besluta att upphandlingen ska göras om eller att den får avslutas först sedan rättelse har gjorts (20 kap. 6 § LOU). Om de tekniska specifikationerna inte anges som prestanda- eller funktions­ krav, ska de hänvisa till standarder och bedömningar, och i fallande priori­ tetsordning till 1. svensk standard som stämmer överens med europeisk standard, 2. europeisk teknisk bedömning, 3. gemensam teknisk specifikation, 4. internationell standard, 5. annat tekniskt referenssystem som utarbetats av europeiska standar­ diseringsorgan, eller 6. annan svensk standard, svenskt tekniskt godkännande eller, i fråga om en byggentreprenad eller användning av en vara, svensk teknisk specifikation för projektering, beräkning och utförande. Sida 12 FÖRVALTNINGSRÄTTEN DOM 3191-18 Varje hänvisning som avses i första stycket ska följas av orden "eller likvär­ dig". (9 kap. 4 § LOU). Om det leder till att vissa leverantörer gynnas eller missgynnas, får de tek­ niska specifikationerna inte innehålla hänvisningar till 1. ett fabrikat, ett ursprung eller ett framställningssätt som karakterise- rar varor eller tjänster som tillhandahålls av en viss leverantör, 2. varumärke, patent eller typ, 3. ursprung, eller 4. tillverkning. Sådana hänvisningar får dock förekomma om det motiveras av det som ska anskaffas eller det annars inte är möjligt att beskriva det som ska anskaffas tillräckligt tydligt. En sådan hänvisning ska följas av orden "eller likvär­ digt". (9 kap. 6 § LOU). Utredningen i målet Av upphandlingsdokumenten framgår bl.a. följande: 8.0 IT-Säkerhet 8.21 Krav Samtliga inloggningsvägar på hård- eller mjukvara i system oavsett protokoll ska vara lö­ senordskyddade och anslutningen krypterad. Exempelvis webbgränssnitt ska använda https, filöverföring med SFTP istället för FTP och om konfiguration över snmp behövs ska det ske över SNMPv3. 8.26 Krav Leverantören ska beskriva vilka portar och protokoll som respektive Utenhet är beroende av för inkommande och utgående nätverkstrafik från respektive typ av Utenhet. Beställaren förbehåller sig rätten att bestämma vilka som får köras och inte. Leverantören ska garantera att detta efterlevs och vid ändringar av vad som får vara aktivt ska detta kunna ändrast på Utenheter ute i produktion. 8.27 Krav Leverantören ska beskriva vilka protokoll och portar som respektive serverinstallation är beroende av för kommunikation inkommande och utgående mellan sagd serverinstallation och Utenhet eller annan serverinstallation. Beställaren erhåller sig rätten att bestämma vilka som ska få köras och inte. Leverantören ska garantera att detta kan efterlevas och vid en ändring i vad som får vara aktivt kunna ändra det på Utenheter ute i produktion. I HÄRNÖSAND FÖRVALTNINGSRÄTTEN DOM I HÄRNÖSAND Utdrag ur anbudsbilaga 5_4.1: Sida 13 3191-18 Utdrag ur anbudsbilaga Portar: �.!;In ;o rfP [J Wlh�-"' . Part":i - ' l'/i,c Mamlatal)'for WubDAV ecan11l119 Cn· •:i;-fr - 1 11 l J'.jd D '3(,�I � 18 9 1::·: M�ndi:ltary fat embecldeil tonnfn11r aeAnnlna 1•.-,J� o·,u -Passtve FTP transfern TI.P I .I' :;.(:dllf!\"1�