Anskaffelse av IT-drift og sikkerhet

Anskaffelse gjelder IT-drift og sikkerhet for Direktoratet for mineralforvaltning med Bergmesteren for Svalbard (DMF-IT-drift-2026). Leveransen organiseres etter SSA-D 2026 med etableringsfase, ordinær drift og avslutningsfase. Prisskjemaet fastsetter all-inclusive prisstruktur for månedlige/løpende IT-drifts- og sikkerhetstjenester (inkl. bl.a. servicedesk, SOC/MDR/IRT, identitet/IAM, M365/Intune, server/plattform, backup/DR, nettverk, og tredjepartslisenser), samt opsjoner og timepriser for tilleggstjenester utenfor må-kravene. Det er også et omfattende opplegg for egenerklæringer/redegjørelser om sanksjoner/restriktive tiltak, menneskerettigheter/anstendige arbeidsforhold, lærlinger, universell utforming, regulatorisk klassifisering av KI/automasjon, og håndtering av regulatoriske endringer.

• Dersom leverandøren støtter seg på annen virksomhet: støttende virksomhet skal kunne stille kapasitet som dekker økonomisk/finansiell kapasitet, tekniske/faglige kvalifikasjoner, personell/nøkkelressurser, sertifiseringer/styringssystemer (f.eks. ISO) eller annen kapasitet som kreves i konkurransen.

  Dokumentasjon: Forpliktelseserklæring (Vedlegg 2) skal fylles ut med hvilken kapasitet som støttes på og begrunnelse/beskrivelse. Støttende virksomhet bekrefter også avvisnings-/etterlevelsesforhold samt vil levere ESPD-egenerklæring og øvrig dokumentasjon Oppdragsgiver krever.

  Kilde: Vedlegg 2 - Forpliktelseserklæring, pkt. 2 og pkt. 3

• Leverandøren skal levere tilbudsdokumenter og utfylt skjema sammen med tilbudet: utfylt tilbudsskjema/tilbudsbrev, utfylt prisskjema, ESPD-egenerklæring, samt utfylte bilag og dokumentasjon på kvalifikasjonskrav.Kilde: Vedlegg 1 - Tilbudsskjema, pkt. 4 'Dokumenter levert sammen med tilbudet' (listepunkter)
• Leverandøren skal legge ved oversikt over underleverandører og eventuelle forpliktelseserklæringer.Kilde: Vedlegg 1 - Tilbudsskjema, pkt. 4 (inkl. 'Oversikt over underleverandører og eventuelle forpliktelseserklæringer')
• Leverandøren skal levere sladdet versjon av tilbudet.Kilde: Vedlegg 1 - Tilbudsskjema, pkt. 4
• Leverandøren skal levere egenerklæringer/redegjørelser knyttet til (i) sanksjoner og restriktive tiltak, (ii) menneskerettigheter/anstendige arbeidsforhold/ansvarlig leverandørkjede, (iii) lærlinger eller begrunnelse for manglende relevans, (iv) universell utforming av brukerrettede digitale grensesnitt, (v) regulatorisk klassifisering av KI/maskinlæring/automasjon, og (vi) redegjørelse for håndtering av regulatoriske endringer i avtaleperioden.Kilde: Vedlegg 1 - Tilbudsskjema, pkt. 4 (liste med 'Egenerklæring om sanksjoner...', 'Redegjørelse for menneskerettigheter...', 'Opplysninger om lærlingordning...', 'Redegjørelse for universell utforming...', 'Regulatorisk klassifisering...', 'Redegjørelse for håndtering...')
• Dersom leverandøren støtter seg på annen virksomhet: forpliktelseserklæringer (Vedlegg 2) skal leveres for støttende virksomheter.Kilde: Vedlegg 1 - Tilbudsskjema, pkt. 6 'Underleverandører og støttende virksomheter'
• Tilbudet skal signeres av person med nødvendig fullmakt og det skal bekreftes at deltilbud/alternative/parallelle tilbud ikke leveres.Kilde: Vedlegg 1 - Tilbudsskjema, pkt. 2 'Tilbud og vedståelse' og pkt. 3 'Bekreftelser'

Innleveringsvilkår fra kunngjøringen

Frist for forespørsel/tilbud

27.08.2026

Språk

norsk, English

Elektronisk katalog

Ikke tillatt

• All-inclusive prinsipp: Leverandør kan ikke kreve særskilt vederlag for ytelser som er nødvendige for å oppfylle kravene i Bilag 1, Bilag 5, Bilag 6 og Bilag 11, med mindre prisskjemaet uttrykkelig angir opsjon/timebasert tillegg.Kilde: Bilag 7 – Samlet pris og prisbestemmelser, 'Prislogikk – all-inclusive'
• Prisskjema skal kategorisere priser i tre regulerings-/faktureringskategorier: (1) Tjenesteindeks/KPI, (2) Tredjepartslisens, (3) Forbruksbasert. Disse skal reflekteres i faktura og månedlige drifts-/kostnadsrapporter for standardisert kompensasjon.Kilde: Bilag 7 – Samlet pris og prisbestemmelser, avsnitt 'Prisregulering' og 'Etterlevelse Bilag 1.1 V10–V11'
• Forbud mot taktisk prising: kostnader i faste poster kan ikke flyttes til timebaserte tillegg for ytelser som er nødvendige for å oppfylle må-kravene; slik prising vurderes som vesentlig avvik.Kilde: Bilag 7 – Samlet pris og prisbestemmelser, 'Forbud mot taktisk prising'
• Godkjenningsperiode og test/utbedring i etableringsfasen: test før oppstartsdag skal godkjennes innen angitt frist (ellers anses godkjent), leverandør skal utbedre ved underkjenning, og godkjenningsperiode på 2 måneder etter oppstartsdag (med forlengelse ved feil/avvik).Kilde: SSA-D 2026, kap. 2.3.4 til 2.3.6 (Test før oppstartsdag, Oppstartsperiode og godkjenningsperiode)
• Ordinær drift: leverandøren har ansvar for tjenestenivå iht. Bilag 5; håndtering av uønskede hendelser med frister og mulig standardisert kompensasjon.Kilde: SSA-D 2026, 2.4.1 og 2.4.2
• Beredskap og katastrofeøvelser: leverandør skal gjennomføre nødvendige beredskaps-/katastrofeøvelser minst én gang per år (med mindre annet fremgår av Bilag 1).Kilde: SSA-D 2026, 2.4.7
• Revisjonsrett: Kunden har rett til revisjon; leverandør plikter å gi tilgang/bistand og kan måtte dekke kundens rimelige revisjonskostnader ved vesentlige brudd.Kilde: SSA-D 2026, 2.4.8
• Databehandleravtale (personvern): behandling kun innenfor avtalt omfang/formål; forbud mot å behandle personopplysninger til egne formål (analyse/produktutvikling/modelltrening mv.) uten skriftlig forhåndsgodkjenning; databehandler skal ha egnet styringssystem og sikkerhetstiltak.Kilde: IT_drift_2026_databehandleravtale_bilag_2020.pdf (Bilag C, C.1-C.2.2)
• Underleverandører/underdatabehandlere: nye underdatabehandlere eller endringer krever spesifikk, forutgående skriftlig godkjenning (med fristkrav til forespørsel).Kilde: IT_drift_2026_databehandleravtale_bilag_2020.pdf (Bilag B, B.1)
• Sletting/tilbakelevering ved opphør: etter opphør skal personopplysninger tilbakeleveres/slettes/utilgjengeliggjøres i henhold til instrukser; sletting av backup der direkte sletting ikke er mulig skjer etter backupsyklus; leverandør skal bekrefte skriftlig og dokumentere på forespørsel.Kilde: IT_drift_2026_databehandleravtale_bilag_2020.pdf (Bilag C, C.6)

• Tekstutdraget viser ikke konkrete kvalifikasjonskrav fra Bilag 1.1 (kravtabeller) eller hvilken vekt «Pris» har i tildelingsmodellen; kun at pris brukes til rangering.
• Det fremgår ikke av utdraget hva som er «måneds sum (kr)»/gjennomgående evalueringsvolumer utover at det finnes timepriser/opsjoner med stipulerte volum; faktiske prisfelter (gule celler) er ikke utfylt her.
• SSA-D 2026-avtaletekst er bare delvis gjengitt; spesifikke SLA/kompensasjonsvilkår ligger i Bilag 5 (ikke med i utdraget).

Punkter der konkurransedokumentene åpner for tolkning, og der en presisering fra oppdragsgiver kan ha betydning for prising og risiko. Spørsmål kan stilles innen fristene som er angitt i konkurransegrunnlaget.

1. I prisskjemaet (Bilag 7) bes regnes «evalueringssum timepriser» og «evalueringssum opsjoner» basert på faste evalueringsvolumer. Kan Oppdragsgiver presisere hvilke evalueringsvolumer som er lagt til grunn for (i) timepriser og (ii) hver enkelt opsjon O001–O003, og om disse volumer er eksklusive/inklusive eventuelle minimumspakker?

   Hvorfor det er verdt å spørre: For å prise riktig trenger leverandøren å vite nøyaktig hvilke volum som inngår i evalueringsprisen (ikke kjøpsplikt), siden pris brukes med formel og faste volumer.

   Kilde: Konkurransegrunnlag punkt 7.1 Evalueringsmetode; Bilag 7 Samlet pris og prisbestemmelser / prisskjema

2. Kan Oppdragsgiver bekrefte hvordan «Etableringskostnad» og «Månedlig driftsvederlag» skal forstås i evalueringsmodellen (Bilag 7) – herunder om månedlig driftsvederlag inkluderer alle faste aktiviteter for MDR/SOC, servicedesk 24/7/365 og øvrige må-krav, eller om enkelte kostnadselementer (f.eks. tredjepartslisenser/«standardtjenester») trekkes ut/tillegges separat i evalueringsprisen?

   Hvorfor det er verdt å spørre: Leverandøren må sikre riktig kostnadsallokering mellom etablering, fast månedlig drift og eventuelle separate priskomponenter for å unngå feilprising og risiko for avvik.

   Kilde: Konkurransegrunnlag punkt 7.1; Bilag 7 Vederlag/prisskjema; Bilag 1.1 B-krav og M-krav om inkludering i månedspris

3. I kravtabellen (Bilag 1.1) finnes flere krav som knytter direkte sammen tjenesteleveranse og etterlevelse/kontraktsvilkår i andre bilag (f.eks. Bilag 5, Bilag 6, Bilag 10, Bilag 11). Kan Oppdragsgiver bekrefte at når et krav-ID viser til «Bilag 7», så skal kostnaden for oppfyllelse av kravet normalt være bakt inn i den relevante faste/enhetsbaserte prisen, med mindre kravet eksplisitt er merket som «Opsjon» eller «Faktureres pr. time»?

   Hvorfor det er verdt å spørre: Dette er avgjørende for prising og for å vurdere hvilke elementer som må prises som opsjon/time versus inkluderes i basisleveransen.

   Kilde: Bilag 1.1 Kravtabell: prinsipp om merking «Opsjon»/«Faktureres pr. time»; Bilag 1.1 A/I/J/V; Konkurransegrunnlag punkt 9.1 og Bilag 1.1 (andel M-krav/innbaking)

4. Krav C2/C12 og D1/D6/D8 beskriver servicedesk og 24/7/365 overvåking samt innsyn/eksport av overvåkings- og hendelsesdata. Kan Oppdragsgiver utdype hvilke konkrete SLA-KPI-er, målemetoder og rapporteringsfrekvenser som gjelder for (i) servicedesk 24/7/365 og (ii) MDR/SOC og overvåkning, og om disse er standardisert i Bilag 5 (for alle relevante tjenestetyper) eller om leverandøren skal spesifisere tilleggsmålinger?

   Hvorfor det er verdt å spørre: Tildeling påvirkes av kvalitet (35%) og sikkerhet/personvern (30%), og leverandøren må vite hvilke måleparametere som faktisk evalueres/etterprøves for å kunne beskrive og prise riktig.

   Kilde: Bilag 1.1: C2, C12, D1, D6; Konkurransegrunnlag punkt 7 (tildelingskriterier); Bilag 5 Tjenestenivå og standardiserte kompensasjoner

5. MDR/SOC-kravene (Bilag 1.1 H1, H2, H3, H4, H8, H9) beskriver loggkilder, 24/7/365 dekning, hendelsesklassifisering og etteranalyse/rotårsaksanalyse. Kan Oppdragsgiver avklare hvilke loggkilder som er «må» å samle inn for å oppfylle kontrakten (jf. H3), og hvilke loggkilder som kan være gjenstand for forutsetninger/avgrensninger uten at det regnes som avvik?

   Hvorfor det er verdt å spørre: Uklare loggkilders omfang gir direkte kostnads- og leveranserisiko (lisens/implementering/tilkobling) og kan påvirke oppfyllelse av må-krav.

   Kilde: Bilag 1.1: H1–H4, H3, H8, H9; Bilag 5 (responstid/rapportering) og Bilag 6 (samhandling/endringshåndtering)

6. Krav J6 og opsjon O001: I Bilag 1.1 er det angitt at kravet innebærer tilrettelegging for off-site backup «i basisleveransen», og at drift/administrasjon av dedikerte fysiske off-site backupservere i managed colocation prises som opsjon O001. Kan Oppdragsgiver presisere hva som inngår i «tilrettelegging» (J6/J7) i basisleveransen (f.eks. etablering av grensesnitt, sikkerhetskopiprotokoll, tilgangsstyring, rapportering), og hva som konkret er avgrenset til opsjon O001?

   Hvorfor det er verdt å spørre: Dette påvirker både oppfyllelse av må-krav og prising av opsjonen. Leverandøren må vite nøyaktig grenseflate mellom basis og opsjon.

   Kilde: Bilag 1.1: J6 og J7 (inkludert omtalen av at drift/administrasjon av fysiske off-site backupservere er opsjon O001); Konkurransegrunnlag punkt 2.2 og Bilag 7 opsjoner

7. For personvern/databehandleravtalen (Bilag 11) er det presisert at «tabeller … skal være fullstendig utfylt ved tilbudsfrist». Kan Oppdragsgiver bekrefte hvilke felter i Bilag 11 som må fylles ut av leverandøren (gjerne med tabell/kolonnenivå eller en oppdatert veiledning i KGV), og om Oppdragsgiver kan akseptere at underdatabehandlere navngis «per underleverandørkategori» inntil kontrakt signeres, eller om de må være navngitt fullt ut i tilbudet?

   Hvorfor det er verdt å spørre: Dette påvirker tilbudets korrekthet og risiko for avvisning/avvik pga. ufullstendig databehandleravtale. Leverandøren trenger praktisk veiledning for utfylling innen fristen.

   Kilde: Konkurransegrunnlag punkt 6.7; Bilag 1.1 I13–I14; Konkurransegrunnlag punkt 9.1 (krav til Bilag 11 full utfylling); Bilag 11 (databehandleravtale)

8. Krav B6 (universell utforming) og vedlagt krav om «universell utforming av leverandørens brukerrettede digitale grensesnitt» (Tilbudsvedlegg/krav i punkt 9.1r). Kan Oppdragsgiver spesifisere hvilke brukerrettede grensesnitt som omfattes (f.eks. portal/web, saksregistrering, rapporteringsgrensesnitt, kunnskapsbase) og hvilken standard/omfangsnivå (f.eks. WCAG-krav) som forventes dokumentert i tilbudet?

   Hvorfor det er verdt å spørre: Leverandøren må kunne avgrense arbeid og dokumentasjon for universell utforming, ellers kan det bli kvalitets-/avviksrisiko eller feil beregnet ressursbruk.

   Kilde: Bilag 1.1 B6; Konkurransegrunnlag punkt 9.1 (r redegjørelse for universell utforming)