LÄNSRÄTTEN I STOCKHOLMS LÄN DOM 2008-09-12 Meddelad i Stockholm Mål nr 15523--08 Rotel 222 Sida 1 (12) Dok.Id 361314 Postadress 115 76 Stockholm Besöksadress Tegeluddsvägen 1 Telefon Telefax 08-561 680 00 08-561 680 01 E-post: lansrattenistockholm@dom.se Expeditionstid måndag fredag 09:00-15:00 SÖKANDE Luning Consulting AB, 556648-2559 Husbyborgsvägen 1 752 28 Uppsala MOTPART Försvarsmakten Ombud: Försvarsjuristen Anders Hallberg Juridiska staben Försvarsmakten Högkvarteret 107 85 Stockholm SAKEN f KOMKUtlR��v��W(,� f 2008-09-15 t A.vd Dnr Doss Överprövning enligt lagen (2007:1091) om offentlig upphandling, LOU DOMSLUT Länsrätten avslår ansökan om åtgärder enligt LOU. Länsrättens interimistiska beslut av den 23 juli 2008 gäller därmed inte längre. Aktbil LÄNSRÄTTEN I STOCKHOLMS LÄN BAKGRUND DOM Sida2 15523-08 Försvarsmakten har utifrån tidigare upphandlat ramavtal (dnr FM-347-07) genomfört ett avropsförfarande avseende tjänster inom området för infor­ mationssäkerhetinomFörsvarsmaktensprojekt"PRIO". Samtligaleveran­ törer som erhållit ramavtalet har bjudits in till anbudsgivning i enlighet med ett förfrågningsunderlag (dm FM-062-08). Enligt tilldelningsbeslut den 14 juli2008 har Försvarsmakten beslutat att teckna avtal med en informationssäkerhetsanalytiker från Ltining Consul­ ting AB (Ltining) och i övrigt teckna avtal med andra anbudsgivare. YRKANDEN M.M. Liining ansöker om överprövning enligt LOU och yrkar att upphandlingen inte skall få avslutas innan rättelse gjorts. Liining yrkar dessutom att läns­ rätten skall fastställa att Försvarsmaktens upphandlingsmeddelande inte upprätthåller lagens krav på redovisande av skälen till upphandlingsbeslu­ tet. Till stöd för sin talan anför Ltining i huvudsak följande. I upphand­ lingsmeddelandet daterat den 14 juli2008 upprepas endast vad som redan framgår av förfrågningsunderlaget samt resultatet av upphandlingen. Skälen till beslutet redovisas inte. Upphandlingsmeddelandet har således inte varit fullständigt varför tidsfristen enligt 16 kap. 1 § tredje stycket inte kan anses ha börjat löpa. Först efter påpekande från Ltining lämnade Försvarmakten genom en skrivelse den 18 juli2008 ytterligare information om skälen till sitt upphandlingsbeslut. Av detta meddelande framgår att de i förfrågnings­ underlaget angivna utvärderingskriteriema och de som sedan kommit att tillämpas i anbudsutvärderingen inte överrensstämmer. Denna skillnad ut­ gör ett brott mot principerna om transparens och likabehandling vilket med­ fört att Ltining lidit skada i upphandlingen. LÄNSRÄTTEN I STOCKHOLMS LÄN DOM Sida 3 15523-08 Försvarsmakten har i skrivelsen den 18 juli 2008 redogjort för de utvärde­ ringskriterier som tillämpats. I utvärderingen har förutom den efterfrågade kompetensen i sårbarhetsgranskning (utvärderingskriterium Bl i förfråg­ ningsunderlaget) också kompetens i säkerhetsanalys bedömts. Säk.erhets­ analys finns inte med som ett utvärderingskriterium i avropsförfrågan var­ för Li.ining inte fått möjlighet att konkurrera med eventuell kompetens på området och därmed lidit skada. I bedömningen av kompetens i systemutveckling (utvärderingskriterium B3 i förfrågningsunderlaget) har man i utvärderingen enbart bedömt en liten del, nämligen "hackat kod". Begränsningarna fim1s inte beskrivna i avrops­ förfrågan. Också här har Försvarsmakten således ställt krav på en sak men utvärderat en annan vilket gör att konkurrensen sätts ur spel eftersom sö­ kanden kan ha kompetens som �i beskrivits i anbudet då det inte är angivet som ett utvärderingskriterium. Lilning har lidit skada av att inte känna till de utvärderingskriterier som tillämpats. Försvarsmakten bestrider bifall till överklagandet och anför i huvudsak följande. I tilldelningsbeslutet den 14 juli 2008 har Försvarsmakten hänvisat vidare till en särskild utvärderingsbilaga där det framgår hur Försvarsmak­ ten prövat, utvärderat och poängsatt de olika konsulter som leverantörerna offererat. Försvarsmakten har således i tilldelningsbeslutet fullgjort sin un­ derrättelseskyldighet gentemot anbudsgivama att redovisa skälen för beslu­ tet. Liinings påstående att Försvarsmakten inte redovisade skälen för tilldel­ ningsbeslutet förrän i en kompletterande skrivelse den 18 juli 2008 är såle­ des felaktigt. Den kompletterande skrivelsen skickades via e-post endast till Liining och enbart av den anledningen att Liining ställt kompletterande frå­ gor om hur Försvarsmakten bedömt och utvärderat en av Liinings konsulter beträffande två specifika utvärderingskriterier. LÄNSRÄTTEN I STOCKHOLMS LÄN DOM Sida 4 15523-08 Försvarsmakten bestrider vidare Lunings påstående att Försvarsmakten för­ utom den efterfrågade kompetensen på sårbarhetsgranskning enligt punkt B1 även bedömt och utvärderat kompetens på säkerhetsanalys. Det är bara sårbarhetsgranskning som har bedömts och utvärderats vilket framgår av bilagan till tilldelningsbeslutet. Anledningen till att begreppet säkerhets­ granskning överhuvudtaget berörs är att Löning ställt en särskild fråga om hur en av bolagets konsulter bedömts avseende denna specifika kompetens. Det har inte haft någon betydelse för poängsättningen av denne eller någon annan konsult. Någon skada har därför inte uppkommit för Luning. När det gäller utvärderingskriterium B3, systemutveckling, har kriteriet bedömts och utvärderats mot bakgrund av den utförliga befattningsbeskriv­ ning som finns för varje aktuell tjänst samt mot den tydliga beskrivning som finns av verksamheten i projekt PRJO. Försvarsmakten bestrider att det har varit fråga om en oförutsebar inskränkning av kriteriet. Det kan nämnas att en annan av de konsulter som offererats av Liining har tilldelats poäng i denna del och antagits som konsult av Försvarsmakten för en av tjänsterna. Försvarsmakten påstår därför att Liining varit väl medveten om hur detta kriterium skulle utvärderas. Inte heller beträffande detta kriterium har Lö­ ning således lidit någon skada. Av avropsförfrågan framgår vidare att ut­ värderingskriteriema B1 och B3 har haft relativt låg vikt vid utvärderingen. Sammanfattningsvis anser Försvarsmakten att utvärderingskriteriema har varit angivna så tydligt som möjligt och Försvarsmakten har i avropsförfrå­ gan understrukit vikten av att tydligt redovisa respektive konsults erfarenhet och kompetens. Försvarsmakten har vid utvärderingen läst och värderat exakt vad som står i avropssvaren för att garantera likabehandling av anbu­ den. Löning har därefter yttrat i huvudsak följande. Kommentarerna i den bilaga som Försvarsmakten hänvisat till i sitt tilldelningsbeslut är inte tillräckligt LÄNSRÄTTEN I STOCKHOLMS LÄN DOM Sida 5 15523-08 utförliga för att förklara skälen bakom tilldelade kontrakt. Skälen till varför poäng har tilldelats eller inte tilldelats avseende utvärderingskriterierna B1 och B3 redovisas inte i beslutet. Det framgår inte heller av anbudsutvärde­ ringen hur begrepp som kunskap i informationssäkerhet definieras och an­ vänds. I kolumn 7 i bilagan anger Försvarsmakten om en av Liinings kon­ sulter att det är "svårt att bedöma hans informationssäkerhetskunskaper på grund av avsaknaden av utbildningar i CV" I kolumn 6 i samma bilaga an­ ges under rubriken "Innehar erfarenhet/kompetens för aktuell befattnings­ beskrivning" att samma konsult har aktuell erfarenhet/kompetens. Informa­ tionen i kolumnerna motsäger varandra och det är oklart vad som avses. Det har i förfrågningsunderlaget inte uppställts formella krav på utbildning. Avsaknad av redovisning av utbildning kan därför inte utgöra hinder för att bedöma erfarenhet och kompetens på andra meriter. Försvarsmaktens påstående att endast sårbarhetsgranskning har bedömts och utvärderats strider mot uppgifterna i e-postmeddelandet den 18 juli 2008. I meddelandet sägs bl.a. att "anledningen till varför [Lilnings konsult] fått 0 poäng på B l är att det inte framgår (som PRIO uppfattar det) i hans CV att han genomfört någon form av sårbarhetsgranskning eller säkerhets­ analysarbete!" Försvarsmakten uppger att detta är svar på en särskild fråga som Liining ställt om hur Liinings konsult bedömts avseende kompetens i säkerhetsanalys. Vilken fråga som Försvarsmakten påstår att Liining har ställt redovisas dock inte. Det framgår av protokollet för anbudsutvärderingen att Liinings konsult har erfarenhet och kompetens för aktuell befattning. I kommentaren anges att konsulten har god kunskap om auktorisation och ackreditering och erfaren­ het av Försvarsmakten. Sårbarhetsgranskning ingår i ackreditering, som utgör den del av systemutveckling som avser informationssäkerhet. Av pro­ tokollet framgår dock att Liinings konsult erhållit noll poäng för kriterium B1, sårbarhetsgranskning. Sida 6 LÄNSRÄTTEN I DOM 15523-08 STOCKHOLMS LÄN När det gäller kriteriet B3, systemutveckling, framgår inte av avropsförfrå­ gan vad som kommer att utvärderas. Detta förhållande har inneburit att Lu­ ning inte har fått tillfälle att i sitt anbud lämna uppgifter om sin kompetens på detta område. Försvarsmakten anger att utvärderingen av detta kriterium har gjorts mot bakgrund av den befattningsbeskrivning som tjänsten avser och "den tydliga beskrivning som finns av verksamheten i projekt PRlO". Befattningsbeskrivningen i förfrågningsunderlaget är dock inte densamma som den kompetens som beskrivs i e-postmeddelandet och som utvärderats. Försvarsmakten skriver i e-postmeddelandet om den aktuella konsulten att "när det gäller utbildning av FM Säkerhetschefer och som PRlO också upp­ fattar det, även har utbildat FM IT-säkerhetschefer, har han utbildat i regel­ verket för DIT 04 och livscykelmodellen. För PRlO är det att han har utbit­ dat i vad som regelverket säger/gäller (DIT 04) och möjligen i metodiken i FM livscykelmodell". Luning har i sitt anbud uppgett att konsulten "genomför utbildning för IT-säkerhetschefer i praktisk tillämpning av FM livscykelmodell". Detta innebär också att konsulten med nödvändighet måste utbilda i metodiken i Försvarsmakiens livscykehnodell. I utvärde­ ringen har detta inte iakttagits av Försvarsmakten. Genom att avstå från att utvärdera Lunings anbud i sin helhet har Försvarsmakten åsidosatt kraven på likabehandling i anbudsutvärderingen och därmed har Luning skadats i upphandlingen. Länsrätten har den 23 juli 2008 förordnat att upphandlingen inte får avslu­ tas innan något annat har beslutats. DOMSKÄL Enligt 1 kap. 9 § LOU skall upphandlande myndigheter behandla leverantö­ rer på ett likvärdigt och icke-diskriminerande sätt samt genomföra upp­ handlingar på ett öppet sätt. Vid upphandlingar skall vidare principerna om ömsesidigt erkännande och proportionalitet iakttas. LÄNSRÄTTEN I STOCKHOLMS LÄN DOM Sida 7 15523-08 Av 9 kap. 9 § LOU framgår att en upphandlande myndighet snarast möjligt skriftligen skall underrätta anbudssökandena och anbudsgivarna om de be­ slut som fattats om att sluta ett ramavtal eller att tilldela ett kontrakt och om skälen för besluten. Av 12 kap. 1 § LOU framgår att en upphandlande myndighet skall anta antingen 1. det anbud som är det ekonomiskt mest fördelaktiga för den upphandlande myndigheten, eller 2. det anbud som im1ehåller det lägsta priset. Vid bedömningen av vilket anbud som är det ekonomiskt mest fördelakti­ ga, skall myndigheten ta hänsyn till olika kriterier som är kopplade till fö­ remålet för kontraktet, såsom pris, leverans- eller genomförandetid, miljö­ egenskaper, driftkostnader, kostnadseffektivitet, kvalitet, estetiska, funktio­ nella och tekniska egenskaper, service och tekniskt stöd. En upphandlande myndighet skall i annonsen om upphandlingen eller i förfrågningsunderlaget ange vilken grund för tilldelning av kontraktet som kommer att tillämpas. I 16 kap. 2 § första stycket LOU är följande föreskrivet. Om den upphand­ lande myndigheten har brutit mot de grundläggande principerna i 1 kap. 9 § eller någon annan bestämmelse i denna lag och detta har medfört att leve­ rantören lidit eller kan komma att lida skada, skall rätten besluta att upp­ handlingen skall göras om eller att den får avslutas först sedan rättelse gjorts. Regeringen har i förarbetena (prop. 2001/02:142 s. 58 f.) till de äldre be­ stämmelserna i 1 kap. 28 § som nu ersatts av 9 kap. 9 § i den nya lagen bl.a. uttalat att det är viktigt att upphandlande enheter utformar info1mationen om tilldelningsbeslutet på ett sådant sätt att det framgår vilka omständighe­ ter som legat till grund för enhetens beslut att anta ett visst anbud. Reger­ ingen har dock inte ansett det lämpligt att i lag ange vad skälen för be­ slutet skall innehålla. Den upphandlande enheten får i stället själv, bero­ ende av vad upphandlingen avser, välja vilka omständigheter som bör redovisas som skäl för beslutet. EG-domstolen har i mål nr C-19/00 (SIAC) uttalat bl.a. följande. Vidare innebär principen om likabehandling en skyldighet att möjliggöra insyn, så att man kan kontrollera att den iak.ttas. Detta innebär i synnerhet att tilldel­ ningskriterierna skall vara formulerade, i kontraktshandlingen eller i med­ delandet om upphandling, på ett sådant sätt att alla rimligt informerade och normalt omsorgsfulla anbudsgivare kan tolka kriterierna på samma sätt. Denna skyldighet att möjliggöra insyn innebär även att den upphandlande myndigheten skall tolka tilldelningskriterierna på samma sätt under hela förfarandet. Sida 8 LÄNSRÄTTEN I DOM 15523-08 STOCKHOLMS LÄN Utredningen i målet I aktuell avropsförfrågan anges under rubriken "Befattningsbeskrivningar Informationssäkerhetsanalytiker" bl.a. följande. Befattningsbeskrivning nr 1 Ansvarig för framtagning och revidering av PRIO säkerhetsmålsättning Framtagning av underlag till samtliga auktorisationsansökningar inom Program PRIO enligt FM livscykelmodell DIT 04 (Direktiv för IT­ verksamhet i FM) Sammanhållande för beredning av designbeslut ur ett PRIO IT perspek­ tiv Föerdragande i DBG (designbeslutgrupp) ur ett PRIO IT perspektiv Samverkar med MUST SÄKK (militärens underrättelse- och säkerhets­ tjänst. Säkerhetskontoret) Kravställare på TIBM (Team IBM, dvs. leverantören) avseende realise­ randet av systemsäkerhetsplan och säkerhetsgodkännandestrategi Framtagning av underlag som följer gällande lagar och förordningar avseende informationssäkerhet samt FM specifika författningar (FFS) och bestämmelser (FIB) gällande informationssäkerhet samt övriga do­ kument enligt SAMSÄK (Sammanställning över bestämmelser och rikt­ linjer för säkerhetstjänsten) Tillse att underlag följer informationssäkerhetsstandard enligt SS - (f.n. ISO/IEC 27002:2005) Under rubriken "Konsulters tillgänglighet och kompetensprofil" i av­ ropsförfrågan står bl.a. följande. För utförande av tjänst erfordras att kon­ sult innehar den erfarenhet och den kompetens som krävs för respektive befattningsbeskrivning samt angiven kompetensnivå. Leverantör skall där­ för ge en tydlig redovisning av respektive konsults erfarenhet och kompe­ tens vilket skall styrkas genom att aktuell CV och en referens för varje kon­ sult bifogas. I samma avropsförfrågan anges under rubriken "Utvärdering" bl.a. följan­ de. Avropssvar kommer att tilldelas per den/de konsulter som erhåller högst poäng enligt följande utvärderingsmodell: Pris/tjänst 50 % Avropssvar (dvs. konsult/tjänst) med lägst timpris erhåller 20 poäng. Däref­ ter ges prispoäng i procentuellt fallande ordning. Varje kriterium nedan kan ges maximalt 20 poäng A) .... B) Konsult innehar teknisk kompetens inom informationssäkerhetsornrådet LÄNSRÄTTEN I STOCKHOLMS LÄN DOM Sida 9 15523-08 - Sårbarhetsgranskning (10 p) - Systemarkitektur (5 p) - Systemutveckling (5 p) Den/de konsult/er som har fått högsta totalpoäng/tjänst som ingår i avrops­ förfrågan kommer att väljas för att utföra tjänst. Av utvärderingsunderlaget (bilaga 1 till tilldelningsbeslutet) framgår att den aktuella konsulten från Liining har tilldelats noll poäng avseende utvärde­ ringskriterium Bl och B3 och fem poäng avseende utvärderingskriterium B2. Totalt, efter viktning av kriterierna A och B mot priset, har han fått 13,9 poäng. I kommentaren till utvärderingen står följande. Svårt att bedöma hans informationssäkerhetskunskaper pga. avsaknaden av utbildningar i CV. God kunskap om auktorisation och ackreditering. PM-erfarenhet, erfa­ renhet av FMV. Länsrättens bedömning En upphandling enligt LOU skall kännetecknas av förutsebarhet och öp­ penhet. För att anbudsgivama skall ges samma förutsättningar för anbuds­ givning måste förfrågningsunderlaget vara tydligt och innehålla samtliga krav på det som skall upphandlas. Uppställda krav får inte frångås. I målet är fråga om avrop från ramavtal av tjänster med omfattande och komplexa befattningsbeskrivningar. Sådana �jänsters innehåll och utformning kan medföra att utvärderingskriteriema inte alltid kan tydliggöras optimalt. Det bör dock i sådana fall utifrån uppställda krav på �jänstema och vad som angetts om utvärderingen i upphandlingsunderlaget vara fullt möjligt för berörda al<:törer inom berört verksamhetsområde att rätt uppfatta vad som efterfrågats i upphandlingen och förstå uppställda utvärderingskriterier. Det är dock ofrånkomligt att utvärderingen i viss mån kommer att präglas av ett mått av skön och su�jektivitet. Utrymmet härför får emellertid inte vara sådant att det blir fråga om ett åsidosättande av kraven på likabehand-· ling och öppenhet vid upphandlingen. Sida 10 LÄNSRÄTTEN I DOM 15523-08 STOCKHOLMS LÄN Till stöd för sin ansökan har Lilning anfört att Försvarsmakten inte tillräck­ ligt utförligt har redovisat skälen för sitt tilldelningsbeslut och att det där­ med inte går att kontrollera om upphandlingen har gått rätt till. Lilning har vidare anfört att utvärderingskriteriema B1 och B3 som Försvarsmakten använt i upphandlingen inte har varit tillräckligt tydliga, att även andra kri­ terier än de som fanns i förfrågningsunderlaget har använts vid utvärdering­ en av kriteriet B1 samt att endast en begränsad del av utvärderingskriteriet B3 har bedömts vid utvärderingen. Enligt 9 kap. 9 § LOU skall anbudsgivama snarast möjligt efter att tilldel­ ningsbeslutet fattats underrättas om skälen för beslutet. Syftet bakom be­ stämmelsen är att anbudsgivama därmed skall få en möjlighet att kontrolle­ ra att upphandlingen har gått rätt till. Av handlingarna i målet framgår att det i bilaga 1 till tilldelningsbeslutet finns en sammanställning av hur För­ svarsmakten har utvärderat och poängsatt de konsulter som leverantörerna lämnat anbud om. I sammanställningen finns även en kommentar till utvär­ deringen av varje konsult. Enligt länsrättens mening uppfyller denna sam­ manställning, med hänsyn till den aktuella upphandlingens karaktär, lagens krav på upphandlingsmyndigheten att ange skälen för sitt beslut. Vad Lii­ ning anfört i denna del utgör således inte skäl till åtgärder enligt LOU. Beträffande utformningen av utvärderingskriteriema konstaterar länsrätten att det av befattningsbeskrivningen i förfrågningsunderlaget framgår vilken erfarenhet och kompetensnivå som krävs för att erhålla den aktuella tjäns­ ten. I förfrågningsunderlaget har Försvarsmakten vidare redovisat den mo­ dell och poängsättning som skall användas vid utvärderingen av de olika anbuden. Försvarsmakten har vidare tydligt angett vilka kriterier som kommer att poängsättas och vilken betydelse dessa har för den totala po­ ängsättningen. Som delkriterier till kriterium B) "teknisk kompetens inom informationssäkerhetsområdet" har Försvarsmakten angett sårbarhets­ granskning, systemarkitektur och systemutveckling. Någon närmare preci- LÄNSRÄTTEN I STOCKHOLMS LÄN DOM Sida 11 15523-08 sering än så av de olika kriterierna kan enligt länsrättens mening rimligen inte krävas. Länsrätten konstaterar vidare att det i förfrågningsunderlaget uttryckligen angetts att leverantörerna skall ge en tydlig redovisning av re­ spektive konsults erfarenhet och kompetens. Däri får även anses ligga ett krav på att konsulten redovisar relevant utbildning och andra meriter som kan antas vara av betydelse för upphandlingen. Vad Liining anfört i dessa delar föranleder således inga åtgärder enligt LOU. Beträffande frågan om Försvarsmakten har gått utöver de utvärderingskrite­ rier som angetts i förfrågningsunderlaget alternativt begränsat dessa gör länsrätten följande bedömning. Försvarsmakten har tillbakavisat Lunings påstående om att även kriteriet säkerhetsanalys har legat till grund för be­ dömningen av de offererade konsulternas kompetens. Utredningen i målet ger inte heller stöd för att Försvarsmakten vid utvärderingen har frångått de i förfrågningsunderlaget angivna kriterierna eller inskränkt dessa på ett sätt som åsidosatt principerna om likabehandling och öppenhet. Det svar på förfrågan om utvärdering/poängsättning som Försvarsmakten lämnat till Luning den 18 juli 2008 innehåller uppgift om säkerhetsanalysarbete. Med hänsyn till att utvärderingskriteriet under BI endast omnämner sårbarhets­ granskning och Ltining bedömts inte ha uppfyllt detta kriterium är det utan betydelseförutvärderingenattävensäkerhetsanalysarbetemnnärnnts. Inte heller på denna grnnd finns således anledning att vidta åtgärder enligt LOU. Mot denna bakgrnnd finner länsrätten sammantaget att vad Luning har an­ fört i målet inte innebär att Försvarsmaktens upphandling av �jänster inom området informationssäkerhet och inom Försvarsmaktens projekt "PRIO" har genomförts i strid med LOU. Ansökan om ingripande med stöd av LOU skall därn1ed avslås. LÄNSRÄTTEN I STOCKHOLMS LÄN DOM Sida 12 15523-08 H UR M �AN 4Ö V E RKL A G AR , s e b i l a g a ( D v 3 1 0 9 / l a ) . lf /1111//,;;k� - 1:1lru:j;'.'Jd fillSSOil radpian Föredragande har varit Christiana Lyrestam �