Elektroniczne trzęsienie ziemi

Analiza obowiązujących przepisów w tym zakresie omówiona została w artykułach poprzedzających niniejszą publikację. Aktualnie najważniejsza jest odpowiedź na pytanie, czy organy centralne zapewnią system teleinformatyczny na potrzeby elektronizacji zamówień publicznych.

Minister Cyfryzacji prowadzi postępowanie dotyczące zaprojektowania, budowy i wdrożenia platformy e-Zamówień wraz z usługą hostingu (e-Zamówienia), w ramach którego powstanie Centralne Repozytorium Danych na potrzeby monitorowania i analiz danych wpływających od zamawiających. 

System e-Zamówienia obejmie następujące moduły:

• moduł Centralnego Repozytorium Danych zapewniający funkcjonalność przechowywania ustrukturyzowanych danych o postępowaniach z portali e-usług, wymiany tych danych;
• moduł Biuletynu Zamówień Publicznych umożliwiający przygotowanie ogłoszeń z kontrolą danych oraz automatyzacją wypełniania wybranych pól w kolejnych ogłoszeniach danego zamawiającego, a także subskrypcję i wyszukiwanie ogłoszeń;
• moduł przyjmowania, zabezpieczenia oraz udostępniania ofert i wniosków o dopuszczenie do udziału w postępowaniu przewidujący generowanie publicznych kluczy asymetrycznych do szyfrowania ofert lub wniosków, przekazywanych portalowi e-usług w terminie określonym w ogłoszeniu;
• moduł eSender umożliwiający przesyłanie ogłoszeń w wymaganym formacie do publikacji w TED i pobieranie potwierdzeń publikacji ogłoszeń w Dzienniku Urzędowym Unii Europejskiej. 

Zamówienie to przewiduje integrację e-Zamówień Minister Cyfryzacji z portalami e-usług. Założenia do tej integracji miał opracować wyłoniony wykonawca w lutym 2018 r., ale z uwagi na fakt, że najkorzystniejsza oferta nie jest jeszcze wybrana, termin ten jest niestety nierealny. 

Istotne fakty

Platforma e-Zamówienia nie zapewni funkcjonalności elektronicznej komunikacji między zamawiającymi a wykonawcami, ponieważ z założenia służy do innych celów. 

Platforma e-Zamówienia nie jest niezbędna, aby przeprowadzić pełną elektronizację zamówień publicznych – wystarczą funkcjonalności portali e-usług.

Portale e-usług 
publiczny i komercyjne

W celu prowadzenia elektronicznej komunikacji między zamawiającymi a wykonawcami zgodnie z założeniami e-Zamówień niezbędne będzie korzystanie przez zamawiających z portalu e-usług. 

Portal ten, według stanowiska Ministerstwa Rozwoju, będzie rozwiązaniem przeznaczonym dla zamawiających, którzy nie potrzebują zaawansowanych narzędzi informatycznych do obsługi zamówień publicznych. Nie wiadomo jednak, w jakim terminie zamawiający otrzymają to narzędzie, jaki będzie czas na jego wdrożenie i jaki będzie zakres dostępnych narzędzi oraz funkcjonalności.

Do zamawiających potrzebujących narzędzia, które nie tylko umożliwi, ale i ułatwi prowadzenie elektronicznych zamówień w pełnym zakresie, adresowane są portale komercyjne. Na rynku są już dostępne gotowe komercyjne portale e-usług, które w różnym stopniu zaspokajają potrzeby zamawiających w obszarze elektronizacji zamówień publicznych, w związku z czym podstawową kwestią jest weryfikacja, czy dany portal spełnia wymagania formalne i techniczne. W tym celu należy zapoznać się z przepisami, które ten obszar regulują. Postaram się w przystępny sposób przedstawić wyciąg wymagań właściwych dla środków komunikacji elektronicznej w rozumieniu ustawy Pzp. 

Środki komunikacji elektronicznej 

Ustawa Pzp w tym zakresie odsyła do rozporządzenia w sprawie e-Zamówień, w którym określone zostały minimalne wymagania techniczne. Rozporządzenie to rozróżnia dwa typy środków komunikacji elektronicznej (ŚKE):

• system teleinformatyczny lub
• inny środek niż system teleinformatyczny.

W zależności od typu ŚKE określone zostały szczegółowe wytyczne co do minimalnych wymogów, jakie dany środek musi spełniać. Zgodnie z § 3 ust. 1 rozporządzenia dla systemu teleinformatycznego wymagane jest:

• spełnienie wymagań odpowiadających minimalnym potrzebom określonym w rozporządzeniu Rady Ministrów z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (dalej: rozporządzenie w sprawie Krajowych Ram Interoperacyjności);
• identyfikacja podmiotów przekazujących oferty//wnioski, ustalenie dokładnego czasu i daty odbioru ofert/wniosków, złożonych przez te podmioty, oraz rozliczalność innych działań przez nie podejmowanych;
• ochrona przed dostępem do treści ofert oraz wniosków o dopuszczenie do udziału w postępowaniu przed upływem wyznaczonych terminów ich otwarcia;
• umożliwienie, wyłącznie osobom uprawnionym, ustalania oraz zmiany terminów składania i otwarcia ofert oraz wniosków o dopuszczenie do udziału w postępowaniu, dostępu do całości lub części dokumentacji postępowania o udzielenie zamówienia na poszczególnych jego etapach oraz udostępniania osobom trzecim ofert i wniosków o dopuszczenie do udziału w postępowaniu, a także innych dokumentów uzyskanych od wykonawców;
• możliwość usunięcia ofert i wniosków o dopuszczenie do udziału w postępowaniu w sposób uniemożliwiający ich odzyskanie i zapoznanie się przez użytkowników z ich treścią – w przypadku zwrócenia przez zamawiającego oferty albo wniosku o dopuszczenie do udziału w postępowaniu lub ich wycofania albo zmiany przez wykonawcę.

Warto zastanowić się, co te wymogi oznaczają w praktyce w odniesieniu do systemów teleinformatycznych. Trzeba jednak zacząć od definicji podstawowej – definicji systemu teleinformatycznego.

Rozporządzenie w sprawie Krajowych Ram Interoperacyjności, w § 20 i 21 wskazuje obowiązki podmiotu realizującego zadania publiczne (zamawiający) w zakresie zapewnienia w użytkowanych systemach teleinformatycznych takich cech jak poufność, dostępność i integralność informacji z uwzględnieniem takich atrybutów jak autentyczność, rozliczalność, niezaprzeczalność i niezawodność. 

Jak te wymagania przekładają się na użytkowany przez zamawiającego portal e-usług?

Rozszyfrujmy wymagania rozporządzenia w sprawie KRI względem środka komunikacji elektronicznej rozumianego jako system teleinformatyczny:

• poufność – właściwość zapewniająca, że informacja nie jest udostępniana lub wyjawiana nieupoważnionym osobom fizycznym;
• dostępność – właściwość określająca, że zasób systemu teleinformatycznego jest możliwy do wykorzystania na żądanie, w założonym czasie, przez podmiot uprawniony do pracy w systemie teleinformatycznym;
• integralność – właściwość polegająca na tym, że zasób systemu teleinformatycznego nie został zmodyfikowany w sposób nieuprawniony;
• autentyczność – właściwość polegająca na tym, że pochodzenie lub zawartość danych opisujących obiekt są takie jak deklarowane;
• niezaprzeczalność – brak możliwości zanegowania swojego uczestnictwa w całości lub w części wymiany danych przez jeden z podmiotów uczestniczących w tej wymianie;
• rozliczalność – właściwość systemu pozwalająca przypisać określone działanie w systemie do osoby fizycznej lub procesu oraz umiejscowić je w czasie i podlegająca wiarygodnemu dokumentowaniu w postaci elektronicznych zapisów w dziennikach systemów (logach).

Rozporządzenie w sprawie Krajowych Ram Interoperacyjności, w § 20 i 21 wskazuje obowiązki podmiotu realizującego zadania publiczne (zamawiający) w zakresie zapewnienia w użytkowanych systemach teleinformatycznych takich cech jak poufność, dostępność i integralność informacji z uwzględnieniem takich atrybutów jak autentyczność, rozliczalność, niezaprzeczalność i niezawodność.

Powyżej przytoczone wymagania rozporządzenia w sprawie KRI dodatkowo zostały uszczegółowione w rozporządzeniu w sprawie e-Zamówienia. System (portal e-usług) musi zapewnić: 

• identyfikację podmiotów przekazujących oferty/wnioski poprzez profil firmy i osoby uprawnionej do reprezentacji umożliwiający jednoznaczną identyfikację tego podmiotu lub osoby, np. za pomocą podpisu elektronicznego z kwalifikowanym certyfikatem,
• ustalenie dokładnego czasu i daty odbioru ofert/wniosków, złożonych przez te podmioty poprzez obiektywną weryfikację czasu dokonania czynności względem niezaprzeczalnego źródła czasu – przy użyciu kwalifikowanego znacznika czasu lub synchronizacji czasu systemu z czasem urzędowym obowiązującym w Polsce poprzez usługę umożliwiającą synchronizację czasu w systemach komputerowych zapewnioną nieodpłatnie przez Główny Urząd Miar,
• rozliczalność działań podejmowanych przez wykonawców – logowanie wszystkich czynności wykonywanych przez wykonawcę w systemie,
• ochronę przed dostępem do treści ofert oraz wniosków przed upływem wyznaczonych terminów ich otwarcia poprzez szyfrowanie treści tych dokumentów oraz zapewnienie dostępu tylko dla uprawnionych osób,
• możliwość ustalania oraz zmiany terminów składania i otwarcia ofert oraz wniosków wyłącznie osobom uprawnionym,
• dostęp do całości lub części dokumentacji postępowania o udzielenie zamówienia na poszczególnych jego etapach wyłącznie osobom uprawnionym,
• możliwość udostępniania osobom trzecim ofert oraz wniosków, a także innych dokumentów uzyskanych od wykonawców z uwzględnieniem podziału na ich części jawne i niejawne,
• możliwość usunięcia ofert oraz wniosków w sposób uniemożliwiający ich odzyskanie i zapoznanie się przez użytkowników z ich treścią (w przypadku zwrócenia przez zamawiającego oferty albo wniosku lub ich wycofania bądź zmiany przez wykonawcę).

Jeżeli środek komunikacji elektronicznej nie jest systemem teleinformatycznym zgodnie z § 3 ust. 2 rozporządzenia w sprawie e-Zamówień, wymaga zapewnienia co najmniej:

• ochrony przed nieautoryzowanym dostępem do informacji, 
• wykorzystania bezpiecznego szyfrowanego połączenia,
• integralności przekazywanych informacji rozumianej jako właściwość polegającą na tym, że oświadczenie nie zostało zmodyfikowane w sposób nieuprawniony,
• autentyczności przekazywanych informacji rozumianej jako właściwość polegającą na tym, że pochodzenie lub zawartość danych opisujących obiekt są takie jak deklarowane,
• możliwości stosowania pieczęci elektronicznej albo podpisu elektronicznego, innego niż kwalifikowany podpis elektroniczny.

O podpisach elektronicznych

Zgodnie z art. 10a ust. 5 Pzp oferty wnioski oraz oświadczenia (w tym JEDZ) sporządza się pod rygorem nieważności w postaci elektronicznej i podpisuje bezpiecznym podpisem elektronicznym weryfikowanym za pomocą ważnego kwalifikowanego certyfikatu lub równoważnego środka spełniającego wymagania dla tego rodzaju podpisu.

Kwalifikowany podpis elektroniczny to podpis bezpieczny. Jego cechą charakterystyczną jest to, że jest on przyporządkowany wyłącznie do osoby go składającej i jest przez tę osobę sporządzany za pomocą podlegających jej wyłącznej kontroli bezpiecznych urządzeń i danych służących do składania podpisu oraz powiązany z danymi, do których został dołączony w taki sposób, że jakakolwiek późniejsza ich zmiana jest rozpoznawalna.

ePUAP

Wymogów określonych w art. 10a ust. 5 Pzp nie spełnia elektroniczny podpis ePUAP. Skorzystanie z platformy ePUAP wymaga założenia profilu zaufanego, który umożliwia potwierdzenie tożsamości jego posiadacza w usługach publicznych w internecie oraz pozwala na podpisywanie pism w postaci elektronicznej kierowanych do podmiotów publicznych. Należy jednak podkreślić, że podpis potwierdzony profilem zaufanym ePUAP nie spełnia wymagań dla zaawansowanego podpisu elektronicznego w myśl rozporządzenia eIDAS*, co zostało wskazane w art. 96 ustawy o usługach zaufania i identyfikacji elektronicznej.

ePUAP jest wyłącznie zwykłym podpisem elektronicznym potwierdzonym profilem zaufanym ePUAP (art. 3 pkt 15 ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne). Wykorzystanie podpisu ePUAP nie jest możliwe w celu podpisania kwalifikowanym podpisem elektronicznym ofert, wniosków i oświadczeń w postępowaniu o zamówienie publiczne. 

Źródła prawa:

1) ustawa z dnia 29 stycznia 2004 r. – Prawo zamówień publicznych (t.j. 24 sierpnia 2017 r., poz. 1579 z późn. zm.);
2) ustawa z dnia 22 czerwca 2016 r. o zmianie ustawy – Prawo zamówień publicznych oraz niektórych innych ustaw (Dz. U. z 2016 r., poz. 1020);
3) ustawa z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz. U. z 2016 r., poz. 1030 i 1579);
4) ustawa z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (Dz. U. z 2017 r., poz. 570);
5) rozporządzenie Prezesa Rady Ministrów z dnia 27 czerwca 2017 r. w sprawie użycia środków komunikacji elektronicznej w postępowaniu o udzielenie zamówienia publicznego oraz udostępniania i przechowywania dokumentów elektronicznych (Dz. U. z 2017 r., poz. 1320);
6) rozporządzenie Rady Ministrów z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (t.j. Dz. U. z 2017 r., poz. 2247);
7) eIDAS – rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 910/2014 z dnia 23 lipca 2014 r. w sprawie identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych na rynku wewnętrznym oraz uchylające dyrektywę 1999/93/WE.