Cyberbezpieczeństwo w Pzp: kiedy system BMS staje się produktem ICT

Przedmiotem zamówienia jest system BMS, ale niezintegrowany z innymi zewnętrznymi systemami funkcjonującymi w pozostałych obiektach zamawiającego. Czy w takiej sytuacji pojawia się możliwy produkt ICT, usługa ICT lub proces ICT? Czy taki zakres realizacji przedmiotu zamówienia zobowiązuje do zastosowania przesłanek odrzucenia ofert z Pzp związanych z cyberbezpieczeństwem?

Sam fakt, że system BMS nie będzie integrowany z innymi zewnętrznymi systemami funkcjonującymi w pozostałych obiektach zamawiającego, nie przesądza o tym, że nie stanowi on produktu ICT.

Dla takiej kwalifikacji kluczowe jest ustalenie, czy system BMS lub jego poszczególne komponenty spełniają definicję produktu ICT, w szczególności czy obejmują urządzenia lub powiązane urządzenia, z których co najmniej jedno działa na podstawie oprogramowania i automatycznie przetwarza dane cyfrowe. Kwestia ta powinna zostać potwierdzona przez właściwego eksperta technicznego na podstawie konkretnej architektury i funkcjonalności zamawianego systemu.

Jeżeli charakter ICT zostanie potwierdzony, zamówienie powinno zostać objęte weryfikacją na podstawie art. 226 ust. 1 pkt 17 i 19 ustawy Pzp.

Zgodnie z definicjami mającymi zastosowanie do nowych przesłanek odrzucenia oferty:

• produktem ICT jest element lub grupa elementów sieci lub systemów informatycznych,
• usługą ICT – usługa polegająca w pełni lub głównie na przekazywaniu, przechowywaniu, pobieraniu lub przetwarzaniu informacji za pośrednictwem sieci i systemów informatycznych,
• procesem ICT – zestaw czynności wykonywanych w celu projektowania, rozwijania, dostarczania lub utrzymywania produktów ICT albo usług ICT. 

Pojęcie sieci i systemów informatycznych obejmuje przy tym m.in. urządzenia lub grupę wzajemnie połączonych lub powiązanych urządzeń, z których co najmniej jedno, wykonując program, automatycznie przetwarza dane cyfrowe.

W konsekwencji sam brak integracji systemu BMS z systemami funkcjonującymi w innych obiektach zamawiającego nie jest wystarczający do wyłączenia jego kwalifikacji jako produktu ICT.

Istotne jest przede wszystkim to, w jaki sposób konkretny BMS funkcjonuje – w szczególności czy jego komponenty działają na podstawie oprogramowania i automatycznie przetwarzają dane cyfrowe dotyczące np. parametrów instalacji budynkowych, ich stanu lub sterowania nimi.

Jednocześnie nie przesądzałabym tej kwalifikacji wyłącznie na podstawie określenia przedmiotu zamówienia jako „system BMS”. Zamawiający powinien zweryfikować tę kwestię z właściwym ekspertem technicznym na podstawie opisu przedmiotu zamówienia, architektury systemu oraz dokumentacji jego komponentów.

Jeżeli zostanie potwierdzone, że system BMS lub jego komponenty stanowią produkt ICT, wówczas zastosowanie znajdą nowe regulacje dotyczące cyberbezpieczeństwa.

W zależności od zakresu zamówienia jego przedmiot może obejmować nie tylko produkt ICT, ale również proces ICT, np. projektowanie, konfigurację, uruchomienie, aktualizację lub utrzymanie systemu, a jeżeli zakres świadczenia odpowiada definicji usługi ICT – również taką usługę. W takim przypadku zamawiający powinien uwzględnić w postępowaniu weryfikację wynikającą z art. 226 ust. 1 pkt 17 i 19 ustawy Pzp.

Czy system BMS może być uznany za produkt ICT?

Tak. System BMS może stanowić produkt ICT, jeżeli jego komponenty działają na podstawie oprogramowania i automatycznie przetwarzają dane cyfrowe.

Czy brak integracji BMS z innymi systemami wyklucza uznanie go za produkt ICT?

Nie. Sam fakt, że system BMS działa lokalnie i nie jest zintegrowany z innymi systemami zamawiającego, nie przesądza o braku charakteru ICT.

Co decyduje o tym, czy BMS jest produktem ICT?

Znaczenie ma przede wszystkim architektura i funkcjonalność konkretnego systemu, w tym sposób działania jego komponentów, wykorzystanie oprogramowania oraz automatyczne przetwarzanie danych cyfrowych.

Czy system BMS działający tylko w jednym budynku może być produktem ICT?

Tak. Produkt ICT nie musi być połączony z systemami działającymi w innych obiektach. BMS może spełniać definicję produktu ICT także wtedy, gdy funkcjonuje wyłącznie lokalnie.

Czym różni się produkt ICT od usługi ICT i procesu ICT?

Produkt ICT to element lub grupa elementów sieci lub systemów informatycznych. Usługa ICT obejmuje przede wszystkim przekazywanie, przechowywanie, pobieranie lub przetwarzanie informacji, natomiast proces ICT dotyczy m.in. projektowania, rozwijania, dostarczania lub utrzymywania produktów i usług ICT.

Czy zamówienie na BMS może obejmować również proces ICT?

Tak. Jeżeli zakres zamówienia obejmuje np. projektowanie, konfigurację, uruchomienie, aktualizację lub utrzymanie systemu BMS, może obejmować również proces ICT.

Kiedy przy zamówieniu na BMS trzeba stosować nowe przesłanki odrzucenia ofert?

Jeżeli zostanie potwierdzone, że system BMS lub jego komponenty stanowią produkt ICT, usługę ICT albo proces ICT, zamawiający powinien uwzględnić w postępowaniu weryfikację wynikającą z art. 226 ust. 1 pkt 17 i 19 Pzp.

Kto powinien ocenić, czy konkretny BMS spełnia definicję produktu ICT?

Ocena powinna opierać się na technicznych cechach systemu. W praktyce warto potwierdzić ją z ekspertem technicznym, który przeanalizuje architekturę, funkcjonalności i dokumentację komponentów BMS.