IT-drift Mindre: ramavtalet visar inte det konkreta köpet

Vad ramavtalet innehåller

Materialet omfattar både upphandlingen, själva ramavtalet och stöd för senare avrop. Här finns bland annat upphandlingsdokument, frågor och svar, kravspecifikation, allmänna villkor och kravkatalog.

Det finns också avrops- och kontraktsmallar samt dokument om bland annat informationssäkerhet, hållbarhet, personuppgifter, datadelning och säkerhetsskydd.

Tjänsterna delas in i sju tjänsteblock:

• datacentertjänster
• publika molntjänster
• nätverk och kommunikation
• hårdvara som tjänst
• applikationsåtagande
• säkerhetstjänster
• Service Desk

Ett avrop ska omfatta tjänster från minst två block. Vilka block som efterfrågades framgår av avropsförfrågan, medan kontraktet och dess bilagor visar vilka tjänster som senare avtalades.

Upphandlingen skedde i två steg

Av upphandlingsdokumenten framgår att upphandlingen genomfördes som ett förhandlat förfarande med föregående annonsering. Först ansökte leverantörer om att få delta. I det steget prövades bland annat ekonomi, datacenterkapacitet och informationssäkerhetsarbete.

I nästa steg fick de inbjudna leverantörerna lämna anbud. Utvärderingen byggde på leveranskvalitet och pris. Leveranskvalitet kunde ge högst 1 200 poäng och pris högst 200 poäng. Av frågor och svar framgår att sista anbudsdag flyttades till den 15 mars 2024 och att avsikten var att anta åtta leverantörer.

Informationssäkerhet fanns redan i kvalificeringen

I ansökningsfasen krävdes att sökanden hade ett dokumenterat ledningssystem för informationssäkerhet. Systemet skulle vara direkt kopplat till de tjänster som skulle levereras under ramavtalet. Kravet kunde styrkas genom certifiering enligt ISO 27001, ett likvärdigt certifierat ledningssystem eller en egen utförlig beskrivning.

Frågor och svar visar att kravet skulle vara uppfyllt redan vid svar på ansökningsinbjudan. Det kunde inte skjutas upp till ramavtalets start. Kravet skulle också uppfyllas av sökanden själv och kunde inte uppfyllas genom att åberopa ett annat företag.

Samtidigt kunde andra typer av kapacitet åberopas. Om en sökande hyrde datacenter skulle bolaget som datacentret hyrdes av anges som åberopat företag. Kvalificeringen skilde därmed mellan krav som skulle uppfyllas av sökanden själv och kapacitet som i vissa delar kunde bygga på ett annat företag.

Kravkatalogen visar möjliga krav

Kravkatalogen innehåller krav och villkor som kan användas vid avrop, bland annat för informationssäkerhet, datacenter, miljö, personuppgifter, servicenivåer och säkerhetsskydd. Men katalogen visar inte vilka av dessa krav en viss organisation faktiskt ställde.

Mycket avgörs vid avrop

Köpen görs genom förnyad konkurrensutsättning. Organisationen skickar en avropsförfrågan till ramavtalsleverantörerna inom området och beskriver vad den vill köpa. Leverantörerna lämnar svar som sedan utvärderas enligt villkoren för avropet.

Avropsmallen har fält för bland annat behov, volymer, krav, utvärdering och kontraktsvillkor. Kontraktsmallen är ännu inte ett avtal med någon leverantör. Den visar inte vilket pris eller vilken leverans som avtalades vid ett enskilt köp.

Bilagor kan få betydelse

Enligt kontraktsmallen har vissa bilagor företräde framför kontraktets huvudtext. Säkerhetsskyddsavtal ligger högst, följt av personuppgiftsbiträdesavtal eller datadelningsavtal. Därefter kommer kontraktet, avropsförfrågan och avropssvaret. För att förstå ett konkret köp kan man därför behöva läsa även bilagorna.

I materialet finns mallar för personuppgiftsbiträdesavtal, datadelningsavtal och säkerhetsskyddsavtal. Mallarna är inte färdiga avtal. De är avsedda att fyllas i för ett enskilt avrop, men visar inte om sådana avtal faktiskt har använts.

Det som fortfarande är oklart

De granskade ramavtalsdokumenten visar inte vilka organisationer som har gjort avrop, vad de har efterfrågat, vilka leverantörer som har svarat, vilka priser som erbjudits eller vilka kontrakt som har tecknats.

Det går inte heller att se om personuppgiftsbiträdesavtal, datadelningsavtal eller säkerhetsskyddsavtal användes i ett enskilt avrop.

För att följa ett konkret köp

För ett enskilt avrop behövs normalt avropsförfrågan, frågor och svar under avropet, bilagor till avropsförfrågan och leverantörernas avropssvar. Dessutom behövs utvärderingsunderlag, tilldelningsbeslut, kontrakt och prisbilaga.

Om avropet rör personuppgifter, datadelning eller säkerhetsskydd behövs även dessa bilagor. Om uppgifter har maskats eller inte lämnats ut kan myndighetens beslut i utlämnandefrågan och den angivna sekretessgrunden behövas.

För att även fastställa vad som beställdes, levererades och betalades behövs normalt beställningar, leveransunderlag och fakturor.

Källor

Inlägget bygger på de dokument för ramavtalet IT-drift 2023, område Mindre, dnr 23.3-5890-2023, som Statens inköpscentral vid Kammarkollegiet har publicerat på Avropa.se.