33.1 Innledning

Forskriften inneholder krav til bruk av elektronisk kommunikasjon i gjennomføringen av offentlige anskaffelser. Kravene til elektronisk kommunikasjon står i kapittel 22 i forskriften del III, men reglene gjelder også for anskaffelser som reguleres av forskriften del II.((1^Jf. § 8-20))

Oppdragsgivere og leverandører er selv ansvarlig for å anskaffe elektroniske løsninger i markedet for henholdsvis mottak og levering av tilbud.

33.2 Krav om bruk av elektronisk kommunikasjon

Hovedregelen er at all informasjonsutveksling mellom oppdragsgiver og leverandørene skal skje skriftlig og ved bruk av elektroniske kommunikasjonsmidler. Med unntak av utveksling av anskaffelsesdokumentene, forespørsler om å delta i konkurransen, bekreftelser av interesse og tilbud, kan muntlig kommunikasjon likevel benyttes forutsatt at denne dokumenteres i tilstrekkelig grad.((2^Jf. § 22-1)) Elektronisk kommunikasjon skal forenkle, og bidra til bedre effektivitet og transparens i anskaffelsesprosesser. Bestemmelsen gjelder ikke interne forhold hos oppdragsgiver. Reglene om elektronisk kommunikasjon gir ikke noen forpliktelse til elektronisk behandling av tilbud eller automatisk evaluering, og gjelder heller ikke kommunikasjon etter kontraktstildeling eller intern kommunikasjon hos oppdragsgiver.((3^Se Anskaffelsesdirektivets fortale premiss 52))

33.3 Generelle krav til verktøy og løsninger som brukes til elektronisk kommunikasjon

Verktøy og løsninger som brukes til elektronisk kommunikasjon skal være ikke-diskriminerende og allment tilgjengelige, og ikke begrense leverandørenes muligheter for å delta i konkurransen. De skal også kunne fungere sammen med alminnelig brukte IKT-produkter.((4^Jf. § 22-2))

Etter forskriftens § 22-2 andre ledd skal opplysninger som er nødvendig for å levere forespørsler om å delta og tilbud elektronisk, være tilgjengelig for leverandørene.

Oppdragsgivere kan imidlertid kreve bruk av verktøy og løsninger som ikke er allment tilgjengelige, hvis de gir leverandørene alternative tilgangsmåter.((5^Jf. § 22-2 tredje ledd))

Reglene om elektronisk kommunikasjon inkluderer en rekke krav som skal ivareta sikkerhet og notoritet i kommunikasjonen. Etter forskriftens § 22-2 andre ledd skal opplysninger om kryptering og tidsstempling være tilgjengelig for leverandørene.

33.4 Sikkerhet ved elektronisk kommunikasjon

For at elektronisk kommunikasjon skal kunne ivareta de grunnleggende prinsippene om konkurranse, likebehandling, forutberegnelighet og etterprøvbarhet må den elektroniske kommunikasjonen kunne gjennomføres med trygghet om at informasjon kan utveksles på en sikker måte som ivaretar informasjonens integritet og tilgjengelighet. Det er derfor blant annet gitt regler som eksplisitt tar for seg krav til mottak og oppbevaring av forespørsler om å delta i konkurranse og tilbud.((6^Jf. § 22-3)) Oppdragsgiver vil identifiseres med sin leverandør av verktøy for konkurransegjennomføring i spørsmål om reglene om elektronisk kommunikasjon er overholdt, det er derfor viktig at oppdragsgiver benytter et system som etterlever regelverket.((7^Se LB-2017-194440-2)) Det er i praksis lagt til grunn at bruk av alminnelig e-post ikke oppfyller kravene til sikkerhet ved elektronisk kommunikasjon i offentlige anskaffelser.((8^Se KOFA-sak 2017/111 avsnitt 77))

Etter § 22-3 første ledd har oppdragsgiver plikt til å sikre at forespørsler om å delta i konkurransen og tilbud holdes fortrolig og at innholdet beskyttes mot endringer og uautorisert innsyn under overføring og lagring. Etter mottak av forespørsler eller tilbud skal ingen ha tilgang til innholdet før fristen for mottak har løpt ut. Risikoen for rettsstridig bruk av informasjon og mulige tilpasninger til andres tilbud taler for en streng forståelse av reglene.

Videre skal bare autoriserte personer kunne fastsette eller endre dato for åpning av forespørslene eller tilbudene, og ha tilgang til de mottatte opplysningene. Dette er blant annet av hensyn til å unngå risiko for tilpasninger til andres tilbud. Tidspunktet for mottak og åpning av forespørsler og tilbud skal kunne fastsettes nøyaktig, og oppdragsgiver skal sørge for at overtredelser eller forsøk på overtredelser av bestemmelsen kan spores i tilstrekkelig grad.

Oppdragsgiver kan kreve at leverandørene bruker løsninger som gir tilfredsstillende sikkerhet for at oppdragsgiver kan sannsynliggjøre hvilken leverandør som har levert det enkelte tilbud, og knytte avsenderen til innholdet.((9^Jf. § 22-5 andre ledd))

Nærings- og fiskeridepartementet har utarbeidet retningslinjer for sikkerhetstiltak ved elektronisk konkurransegjennomføring som oppdragsgivere bør følge.

33.5 Bruk av elektroniske signaturer

Oppdragsgivere kan ikke kreve at leverandør skal identifisere seg ved elektronisk signatur eller elektroniske identifikasjonsbevis for å få tilgang til konkurransegrunnlag eller å melde sin interesse.((10^Jf. § 22-5 første ledd)) Åpen tilgang til å delta i offentlige anskaffelser er et viktig hensyn som bidrar til konkurranse og det bør ikke oppstilles skranker for deltakelse, se også § 14-3 om elektronisk tilgang til konkurransegrunnlaget.

Et konkurransegrunnlag kan i enkelte tilfeller inneholde fortrolige opplysninger, eksempelvis ved anskaffelser av helse- og sosialtjenester. Forskriftens § 14-3 tredje ledd inneholder derfor en unntaksbestemmelse. Dersom det ikke kan gis ubegrenset tilgang til konkurransegrunnlaget, skal oppdragsgiver angi hvordan leverandører kan få tilgang, og hvilke tiltak som er nødvendige for å sikre fortrolighet.

Oppdragsgivere kan som nevnt ovenfor kreve at leverandørene bruker løsninger som gir tilfredsstillende sikkerhet knyttet til hvem som har levert den enkelte forespørselen og det enkelte tilbudet. Oppdragsgiver kan for ytterligere sikkerhet kreve bruk av elektronisk signatur, elektronisk segl eller elektronisk identitetsbevis/ midlertidige adgangstegn for å knytte avsenderen til innholdet i forespørsel eller tilbud.

Det er ingen plikt for oppdragsgivere til å be leverandører identifisere seg som angitt. Hvis dette kreves, skal oppdragsgiver angi kravene til sikkerhetsnivå i konkurransegrunnlaget.((11^Jf. § 22-5 tredje ledd))

Dersom en oppdragsgiver krever at elektronisk signatur brukes, skal oppdragsgiver godta avanserte elektroniske signaturer utstedt i tråd med kommisjonsvedtak 2009/767/EF. Kommisjonsvedtaket skal lette bruken av elektroniske prosedyrer på tvers av landegrenser i det indre marked.

EUs forordning om elektronisk identifisering (eID) og tillitstjenester for elektroniske transaksjoner i det indre marked, eIDAS-forordningen,((12^Europaparlaments- og rådsforordning (EU) nr. 910/2014 av 23. juli 2014 om elektronisk identifikasjon og tillitstjenester for elektroniske transaksjoner i det indre marked og om oppheving av direktiv 1999/93/EF)) er gjennomført i Norge ved lov om elektroniske tillitstjenester.((13^LOV-2018-06-15-44)) Forordningen krever at eID, elektronisk signatur, elektronisk segl (virksomhetssignatur) og tillitstjenester skal fungere på tvers av landegrensene i hele EØS-området. Offentlige anskaffelser er «elektroniske transaksjoner i det indre marked». Bruk av eID, signaturer, segl og tillitstjenester må derfor være i henhold til eIDAS-forordningen

Oppdragsgiver kan kreve bruk av avansert elektronisk signatur dersom en risikovurdering tilsier dette. Nærings- og fiskeridepartementet har gitt veiledning i hvordan en slik risikovurdering kan gjennomføres.((14^Retningslinjer-for-sikkerhetstiltak-ved-elektronisk-konkurransegjennomforing---versjon-1.0.pdf punkt 5.4.3)) Departementet kan fastsette nærmere regler, jf. § 22-5 sjette ledd, men dette er på nåværende tidspunkt ikke gjort.

33.6 Unntaksregler

Forskriftens § 22-4 gir unntak fra bestemmelsene om obligatorisk elektronisk kommunikasjon. I hovedsak gjelder dette forhold der elektronisk kommunikasjon er upraktisk eller umulig på grunn av anskaffelsens art, for eksempel på grunn av tilgang til påkrevde verktøy eller formater for det som skal leveres.

Det finnes også et sikkerhetsmessig begrunnet unntak i forskriftens § 22-4 tredje ledd hvis det er nødvendig å bruke andre kommunikasjonsmidler som følge av sikkerhetsbrudd i kommunikasjonsløsningen eller at sensitive opplysninger ikke kan beskyttes på en tilfredsstillende måte. Dette betyr at dersom oppdragsgivers risikovurdering konkluderer med at sikkerheten i løsningene for elektronisk kommunikasjon ikke er tilfredsstillende, plikter oppdragsgiver å bruke papirbasert kommunikasjon.

Dersom oppdragsgiver viser til unntak fra kravet om elektronisk kommunikasjon, skal begrunnelse for unntaket dokumenteres i anskaffelsesprotokollen.((15^Jf. § 25-5 andre ledd bokstav f)) Dersom oppdragsgiver ikke krever bruk av elektroniske kommunikasjonsmidler skal det benyttes ordinær postgang eller andre egnede forsendelsesmåter, eventuelt kombinert med elektronisk kommunikasjon.

Fotnoter

¹Jf. § 8-20

²Jf. § 22-1

³Se Anskaffelsesdirektivets fortale premiss 52

⁴Jf. § 22-2

⁵Jf. § 22-2 tredje ledd

⁶Jf. § 22-3

⁷Se LB-2017-194440-2

⁸Se KOFA-sak 2017/111 avsnitt 77

⁹Jf. § 22-5 andre ledd

¹⁰Jf. § 22-5 første ledd

¹¹Jf. § 22-5 tredje ledd

¹²Europaparlaments- og rådsforordning (EU) nr. 910/2014 av 23. juli 2014 om elektronisk identifikasjon og tillitstjenester for elektroniske transaksjoner i det indre marked og om oppheving av direktiv 1999/93/EF

¹³LOV-2018-06-15-44

¹⁴Retningslinjer-for-sikkerhetstiltak-ved-elektronisk-konkurransegjennomforing---versjon-1.0.pdf punkt 5.4.3

¹⁵Jf. § 25-5 andre ledd bokstav f