Trwa zakup sprzętu komputerowego dla jednostki budżetowej. Zamawiający szuka punktu odniesienia i trafia na ogłoszenie sąsiedniego powiatu, które zawiera szczegółowe zapisy dotyczące produktów, usług i procesów ICT. Zamierza wzorować się na tym tekście. Pod tym pytaniem na forum branżowym pojawia się jednak komentarz innego praktyka. Pyta, czy faktycznie istnieje obowiązek powielania w specyfikacji przesłanek odrzucenia z ustawy. Sugeruje, że wystarczy żądać wyjaśnień i ewentualnie odrzucić ofertę na zwykłych podstawach. Spór dotyczy nowych przesłanek odrzucenia oferty ICT, które obowiązują od 3 kwietnia 2026 roku. Po jednej stronie stoi formalne odczytanie ustawy, po drugiej praktyka badania ofert. Każda strona ma argumenty, jednak tylko jedna prowadzi do bezpiecznego prowadzenia postępowania.
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa weszła w życie 3 kwietnia 2026 roku. Wprowadziła do Prawa zamówień publicznych jedną zmienioną i jedną zupełnie nową podstawę odrzucenia oferty. Pierwsza zmiana dotyczy przesłanki, która istniała wcześniej, ale w węższym brzmieniu. Dotąd zamawiający odrzucał ofertę obejmującą „urządzenia informatyczne” lub „oprogramowanie” wskazane w rekomendacji Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa. Obecnie obowiązek dotyczy produktów ICT, usług ICT i procesów ICT. Pojęcia te są nowe dla wielu zamawiających, ale wprowadza je unijne rozporządzenie o cyberbezpieczeństwie z 2019 roku i są one wyjątkowo pojemne. Produkt ICT to każdy element lub grupa elementów sieci albo systemów informatycznych, a więc nie tylko komputer czy serwer, ale również router, kamera IP, czujnik czy karta sieciowa.
Skąd wzięły się nowe przesłanki odrzucenia oferty ICT
Usługa ICT obejmuje każdą usługę polegającą w pełni lub głównie na przekazywaniu, przechowywaniu, pobieraniu lub przetwarzaniu informacji za pośrednictwem sieci i systemów informatycznych. Mieści się w tym zakresie chmura, hosting, transmisja danych, kopie zapasowe oraz utrzymanie systemów. Proces ICT to zbiór czynności w zakresie projektowania, opracowywania, dostarczania i utrzymania produktu lub usługi ICT, czyli na przykład wdrożenie systemu, jego konserwacja albo aktualizacje bezpieczeństwa. W efekcie nowe przesłanki obejmują praktycznie każde zamówienie z elementem cyfrowym, od zakupu pojedynczego laptopa po wdrożenie zaawansowanego systemu dziedzinowego.
Druga zmiana to całkowicie nowe narzędzie. Minister właściwy do spraw informatyzacji zyskał kompetencję do uznania konkretnego dostawcy sprzętu lub oprogramowania za dostawcę wysokiego ryzyka. Postępowanie wszczyna się z urzędu albo na wniosek przewodniczącego Kolegium do Spraw Cyberbezpieczeństwa, a firma objęta postępowaniem może przedstawiać swoje argumenty i dowody. Decyzję można zaskarżyć do sądu administracyjnego. Po jej uprawomocnieniu trafia do Monitora Polskiego oraz Biuletynu Informacji Publicznej i właśnie od tego momentu działa wobec zamawiających.
Konsekwencje dla zamówień są automatyczne, ponieważ zamawiający musi odrzucić ofertę obejmującą produkt, usługę lub proces ICT wymieniony w takiej decyzji. Ocena proporcjonalności ani indywidualna analiza ryzyka tu nie wchodzą w grę. Decyzja obejmuje przy tym nie tylko samego dostawcę, ale również jego grupę kapitałową w rozumieniu ustawy o rachunkowości. Jedna decyzja może zatem wyeliminować z przetargów produkty kilkunastu powiązanych spółek naraz. Do tej pory żadnej takiej decyzji nie wydano. Mechanizm działa jednak od kwietnia i może uruchomić się w dowolnym momencie. Obie przesłanki dotyczą również postępowań wszczętych przed 3 kwietnia 2026 roku, co oznacza, że data ogłoszenia o zamówieniu nie chroni przed nowymi obowiązkami.
Argumenty za pomijaniem zapisu w specyfikacji
Komentarz drugiego praktyka trafia w istotę problemu. Prawo zamówień publicznych nie zawiera bowiem przepisu, który nakazywałby powielać w SWZ katalog przesłanek odrzucenia oferty. Przesłanki działają z mocy ustawy. Zamawiający, który dostrzeże w ofercie produkt ICT z rekomendacji Pełnomocnika albo decyzji ministra, odrzuca ją także bez zapisu w specyfikacji. Wykonawcy mogą żądać wyjaśnień na podstawie ogólnych przepisów o badaniu ofert. Zwolennicy tego podejścia zauważają również, że dublowanie ustawy w SWZ rodzi własne ryzyko. Zamawiający, który przepisze treść przepisu nieprecyzyjnie, naraża się na zarzut sprzeczności pomiędzy specyfikacją a ustawą. Wykonawca z odrzuconą ofertą skorzysta wtedy z każdej takiej luki w odwołaniu do KIO. Lepsze rozwiązanie polega więc, w tej logice, na powołaniu się na ustawę i przeniesieniu całego ciężaru analizy na etap badania ofert.
Dlaczego praktyka woli zapis w SWZ
Formalna poprawność tego rozumowania nie kończy jednak sprawy. Nowe przesłanki odrzucenia oferty ICT operują pojęciami szerokimi, ale informacja o tym, jakie konkretnie elementy ICT znajdują się w ofercie, prawie nigdy nie wynika z samego formularza ofertowego. Wykonawca wpisuje cenę i ogólną deklarację zgodności z opisem przedmiotu zamówienia, a typ i producenta konkretnych rozwiązań ujawnia dopiero w specyfikacji technicznej oferty, jeżeli zamawiający tego zażąda. Bez takiego żądania zamawiający dostaje ofertę, której zwyczajnie nie potrafi zweryfikować pod kątem rekomendacji ani decyzji ministra. Wezwanie do wyjaśnień dotyczy oferty już złożonej i pozwala doprecyzować to, co budzi wątpliwości. Bez obowiązku ujawnienia elementów ICT w treści oferty zamawiający może jednak nawet nie mieć powodu, żeby takich wyjaśnień żądać.
Tymczasem rekomendacje Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa są bardzo konkretne i odnoszą się do nazwanych typów rozwiązań. Bez identyfikacji producenta i modelu w ofercie zestawienie z rekomendacją staje się fikcją. Dlatego eksperci w obszarze zamówień publicznych rekomendują przygotowanie SWZ w sposób, który umożliwi badanie ofert. Eksperci wskazują trzy elementy. Specyfikacja zawiera zakaz stosowania rozwiązań z rekomendacji lub decyzji oraz obowiązek wskazania producenta i typu wszystkich elementów ICT w treści oferty. Projektowane postanowienia umowne dopuszczają zaś zmianę rozwiązania w toku realizacji, jeżeli zostanie wydana decyzja dotykająca pierwotnie zaoferowanego produktu.
Drugą warstwą problemu pozostaje etap realizacji umowy. Minister może wydać decyzję o dostawcy wysokiego ryzyka w trakcie wykonywania zamówienia, czyli już po podpisaniu umowy z wykonawcą. Podmioty kluczowe i ważne objęte ustawą o cyberbezpieczeństwie mają wtedy obowiązek wycofania takich rozwiązań w określonych terminach. Termin podstawowy wynosi 7 lat od dnia ogłoszenia decyzji w Monitorze Polskim. W przypadku produktów, usług i procesów ICT wykorzystywanych do funkcji krytycznych dla bezpieczeństwa sieci usług termin skraca się do 4 lat. Jeżeli umowa nie przewiduje mechanizmu zmiany dostawcy z poszanowaniem ustawowych ograniczeń dotyczących zmian umowy, zamawiający staje w trudnej sytuacji. Konieczność wymiany produktu może wejść w kolizję z ograniczeniami zmiany istotnych postanowień kontraktu.
JAK UNIKAĆ SPORU
Solidne projektowane postanowienia umowne pozwalają tego uniknąć i dają zamawiającemu prawo do żądania zamiany produktu, usługi lub procesu na alternatywne rozwiązanie. Komunikat UZP z 23 marca 2026 roku szczegółowo omawia treść nowych przesłanek oraz zasady ich stosowania do postępowań rozpoczętych przed datą wejścia w życie ustawy. Praktyk, który wybiera bezpieczny wariant, robi dwie rzeczy naraz. Wpisuje przesłanki do specyfikacji i zabezpiecza umowę na wypadek decyzji, która zapadnie po podpisaniu kontraktu.
Spór nie dotyczy tak naprawdę prawa, ale ryzyka. Brak zapisu w specyfikacji nie zwalnia z obowiązku odrzucenia oferty. Znacząco utrudnia jednak wykrycie podstawy odrzucenia w toku badania, ponieważ zamawiający nie ma narzędzia, żeby ustalić, jakie konkretnie rozwiązania ICT zostały zaoferowane. Praktyka pokazuje, że oferta z produktami objętymi przesłankami odrzucenia oferty ICT może wtedy prześlizgnąć się przez badanie i dotrzeć do podpisania umowy. Dobrze przygotowane dokumenty zamówienia stanowią więc nie powielenie ustawy, ale narzędzie operacyjne. Pozwalają zauważyć problem przed wyborem oferty, dają podstawę do żądania wyjaśnień i chronią zamawiającego przed sporem na etapie realizacji.
#pzp #zamowieniapubliczne #ict #cyberbezpieczenstwo #odrzucenieoferty
