Ramavtal är inte samma sak som köp – exemplet IT-drift Mindre

Kammarkollegiets ramavtal IT-drift 2023, område Mindre gäller IT-drifttjänster för avropsberättigade organisationer. Område Mindre avser organisationer med upp till 200 anställda.

Ramavtalet började gälla den 14 november 2024 och löper till den 13 november 2028. Den uppskattade omsättningen för område Mindre anges till 500 miljoner kronor exklusive mervärdesskatt. Takvolymen anges till 700 miljoner kronor.

De publicerade handlingarna gäller ramavtalet. De visar alltså inte vad en viss myndighet eller organisation faktiskt har köpt. Den uppgiften finns först i avropshandlingarna, alltså underlaget för det enskilda köpet från ramavtalet.

Vad ramavtalet innehåller

Materialet består av flera delar.

En del gäller upphandlingen. Där finns bland annat ansökningsinbjudan, frågor och svar, upphandlingsdokument och kvalificeringskrav.

En annan del gäller själva ramavtalet: ramavtalets huvuddokument, allmänna villkor, kravspecifikation, finansiella villkor för hårdvara som tjänst och kravkatalogen.

Det finns också avropsstöd. Dit hör bland annat avropsmall, kontraktsmall och vägledning. Till materialet hör även stöddokument om hållbarhet, informationssäkerhet, personuppgifter, datadelning och säkerhetsskydd.

Ramavtalsdokumenten visar ramen för kommande avrop. De visar inte hela kedjan från behov till färdigt kontrakt.

Sju tjänsteblock

Tjänsterna delas in i sju tjänsteblock:

• datacentertjänster
• publika molntjänster
• nätverk och kommunikation
• hårdvara som tjänst
• applikationsåtagande
• säkerhetstjänster
• Service Desk

Ett avrop ska omfatta tjänster från minst två block. Ramavtalet är därför avsett för sammansatta IT-driftbehov.

Vilka block som används i ett konkret köp framgår först av avropshandlingarna.

Upphandlingen skedde i två steg

Av upphandlingsdokumenten framgår att upphandlingen genomfördes som ett förhandlat förfarande med föregående annonsering.

Först ansökte leverantörer om att få delta. I det steget prövades bland annat ekonomi, datacenterkapacitet och informationssäkerhetsarbete.

I nästa steg fick inbjudna sökande lämna anbud. Anbuden utvärderades sedan utifrån leveranskvalitet och pris. Leveranskvalitet kunde ge högst 1 200 poäng och pris högst 200 poäng.

Frågor och svar förtydligade flera delar av underlaget. Där framgår bland annat att sista anbudsdag ändrades till den 15 mars 2024 och att åtta leverantörer skulle antas.

Informationssäkerhet fanns redan i kvalificeringen

Informationssäkerhet återkommer i flera delar av materialet.

I ansökningsfasen krävdes att sökanden hade ett dokumenterat ledningssystem för informationssäkerhet. Ledningssystemet skulle vara direkt relaterat till de tjänster som skulle levereras under ramavtalet.

Kravet kunde styrkas genom ISO 27001, ett likvärdigt certifierat ledningssystem eller genom en egen utförlig beskrivning.

Frågor och svar visar att kravet skulle vara uppfyllt redan vid svar på ansökningsinbjudan. Det kunde inte skjutas upp till ramavtalets start. Kravet skulle också uppfyllas av sökanden själv och kunde inte uppfyllas genom att åberopa ett annat företag.

Samtidigt kunde andra typer av kapacitet åberopas. Om en sökande hyrde datacenter skulle bolaget som datacentret hyrdes av anges som åberopat företag.

Kvalificeringen skilde därmed mellan krav som skulle uppfyllas av sökanden själv och kapacitet som i vissa delar kunde bygga på ett annat företag.

Kravkatalogen visar möjliga krav

Kravkatalogen är en katalog med krav, kriterier och villkor som kan användas och preciseras vid avrop.

Den omfattar bland annat informationssäkerhet, datacenter, miljö och hållbarhet, personuppgiftsbehandling, servicenivåer, säkerhetsskydd och avslut av kontrakt.

Kravkatalogen visar däremot inte vilka krav som faktiskt ställts i ett visst avrop. Den visar vilka krav som kan bli aktuella.

Vad en viss myndighet valde att kräva framgår först av avropsförfrågan.

Mycket avgörs vid avrop

Ramavtalet används genom förnyad konkurrensutsättning. Vid ett avrop får ramavtalsleverantörerna konkurrera om det konkreta köpet.

Den avropsberättigade organisationen skickar då en avropsförfrågan till ramavtalsleverantörerna inom området. Där beskrivs vad organisationen vill köpa. Leverantörerna lämnar avropssvar, och svaren utvärderas enligt den modell som angetts i avropet.

I avropsmallen finns delar som behov, volymer, kravspecifikation, utvärderingsmodell, kontraktsvillkor och bilagor.

Kontraktsmallen är däremot bara en mall för det senare kontraktet. Den innehåller inga ifyllda uppgifter om leverantör, pris, leverans eller krav.

Ramavtalet visar förutsättningarna. Avropshandlingarna visar affären.

Bilagor kan få betydelse

I kontraktsstrukturen ligger vissa bilagor före andra handlingar. Säkerhetsskyddsavtal ligger högst. Därefter kommer personuppgiftsbiträdesavtal eller datadelningsavtal. Först därefter kommer kontraktet, avropsförfrågan och avropssvaret.

Det betyder att ett faktiskt avrop inte alltid kan förstås genom kontraktets huvudtext. Om personuppgifter, datadelning eller säkerhetsskydd är aktuellt behöver bilagorna också läsas.

I materialet finns mallar för personuppgiftsbiträdesavtal, datadelningsavtal och säkerhetsskyddsavtal. De är inte färdiga avtal. De ska fyllas i utifrån det enskilda avropet.

Mallarna visar hur frågorna kan regleras. De visar inte om sådana avtal faktiskt har använts i ett visst köp.

Vad ramavtalsdokumenten inte visar

De publicerade ramavtalsdokumenten visar ramen för kommande avrop. Vilka myndigheter som har använt ramavtalet och vilka tjänster som har köpts framgår inte där.

Det går inte heller att se vilka krav som ställts, vilka leverantörer som lämnat svar, vilka priser som erbjudits eller vilket kontrakt som tecknats i ett visst avrop.

Av ramavtalsdokumenten går det inte heller att se om personuppgiftsbiträdesavtal, datadelningsavtal eller säkerhetsskyddsavtal har använts i ett enskilt köp.

Det följer av att ramavtalet är en struktur för senare köp. För att förstå ett faktiskt inköp behövs avropshandlingarna.

För att följa ett konkret köp

För ett enskilt avrop behövs normalt avropsförfrågan, frågor och svar under avropet, bilagor till avropsförfrågan och leverantörernas avropssvar.

Det behövs också utvärderingsunderlag, tilldelningsbeslut, kontrakt och prisbilaga.

Om avropet rör personuppgifter, datadelning eller säkerhetsskydd behövs även de bilagorna. Sekretessprövning och maskningsbeslut kan också behövas, om uppgifter har dolts eller inte lämnats ut.

Först då går det att se vad som efterfrågades, hur leverantörerna svarade och vilket kontrakt som blev resultatet.

Vad handlingarna visar

Materialet om IT-drift Mindre visar ramen för senare avrop: tjänsteområden, avtalsvillkor, möjliga krav och avropsstöd.

Det visar däremot inte vilka tjänster en viss organisation faktiskt har köpt. Den uppgiften finns först i avropshandlingarna.

Källor

Inlägget bygger på Kammarkollegiets / Statens inköpscentrals publicerade ramavtalsdokument för IT-drift 2023, område Mindre, dnr 23.3-5890-2023.

Handlingarna finns publicerade på Avropa.se.

Kontakt: klarfakta@proton.me