Skybasert sak- og arkivsystem til Arbeidstilsynet

Arbeidstilsynet skal anskaffe et skybasert (SaaS) sak- og arkivsystem for saksbehandling og tilsynsarbeid, med moduler for sak-arkiv, møte, innsyn og byggesak. Løsningen skal støtte formalkrav for arkiv og saksbehandling (bl.a. arkivlov/forenklet Noark), migrering av eksisterende arkivbaser, integrasjoner mot nasjonale felleskomponenter (eFormidling, eDialog, eSignering, eInnsyn, Folkeregister/Enhetsregister, Altinn m.fl.), samt sikkerhet, personvern (GDPR) og universell utforming. Avtalen inngås etter SSA-L med én leverandør, løpende tjenestekjøp over internett, med etableringsfase og godkjenningsprøve senest 6 måneder etter kontraktsignering.

• K1: Leverandør skal være registrert i foretaksregister eller handelsregister i den staten leverandøren er etablert.

  Dokumentasjon: Norske leverandører: firmaattest. Utenlandske: bekreftelse på registrering i foretaks-/handelsregister i etableringsstaten (Regler for anskaffelsen punkt 3.4.1).

  Kilde: Regler for anskaffelsen punkt 3.4.1 (K1)
• K2: Leverandøren skal ha ordnede forhold med hensyn til betaling av skatt og merverdiavgift (ikke mer enn ubetydelige forfalte ikke betalte skatter/avgifter), eller tilfredsstillende redegjørelse.

  Dokumentasjon: Attest for skatt og merverdiavgift (RF 1316) ikke eldre enn 6 måneder. Utenlandske leverandører: dokumentasjon for overholdelse i etableringsstat.

  Kilde: Regler for anskaffelsen punkt 3.4.1 (K2)
• K3: Leverandøren skal ha tilstrekkelig økonomisk og finansiell kapasitet til å oppfylle kontrakten.

  Dokumentasjon: Kredittvurdering fra anerkjent kredittvurderingsselskap basert på siste kjente regnskapstall. Oppdragsgiver kan innhente supplerende informasjon. Alternativ dokumentasjon kan gis ved saklig grunn med begrunnelse.

  Kilde: Regler for anskaffelsen punkt 3.4.2 (K3)
• K4: Leverandøren skal ha erfaring fra minimum 3 sammenlignbare oppdrag (lignende arkivsystem til offentlig virksomhet) gjennomført de siste 5 årene.

  Dokumentasjon: Beskrivelse av tre (3) relevante referanseoppdrag i henhold til krav (navn på oppdragsgiver, kontraktsverdi, utførelsestidspunkt, beskrivelse og overføringsverdi). Skal besvares med vedlegg E.

  Kilde: Regler for anskaffelsen punkt 3.4.3 (K4) + Vedlegg E
• K5: Leverandøren skal ha et kvalitetssikringssystem tilpasset leveransen (evt. ISO 9001 eller tilsvarende).

  Dokumentasjon: Overordnet og kortfattet beskrivelse av kvalitetssikringssystem. Ved ISO 9001/tlsv.: kopi av gyldig attest.

  Kilde: Regler for anskaffelsen punkt 3.4.4 (K5)
• K6: Leverandøren skal ha et dokumentert miljøledelsessystem (evt. EMAS eller ISO 14001 el. tilsvarende).

  Dokumentasjon: Overordnet og kortfattet beskrivelse. Ved EMAS/tilsvarende: attest/kopi av gyldig attest.

  Kilde: Regler for anskaffelsen punkt 3.4.4 (K6)
• K7: Leverandøren skal ha dokumenterte rutiner for informasjonssikkerhet tilpasset kontraktens kompleksitet/risiko og målsetting, inkl. opplæring og mekanismer for å oppdage uønsket atferd.

  Dokumentasjon: Beskrivelse av rutiner for risiko og informasjonssikkerhet som dekker punktene nevnt. Ved ISO 27001 eller tilsvarende: kopi av gyldig sertifikat.

  Kilde: Regler for anskaffelsen punkt 3.4.4 (K7)

• Forespørsel om deltakelse: Søknadsbrev (Vedlegg A1) skal fylle ut og signere under tabellen.Kilde: Regler for anskaffelsen punkt 2.3.2 + Vedlegg A1
• Forespørsel om deltakelse: ESPD skal fylles ut (inkl. del III avvisningsgrunner etter nasjonale avvisningsgrunner).Kilde: Regler for anskaffelsen punkt 3.1-3.2 + punkt 2.3.2
• Forespørsel om deltakelse: Eventuelle forpliktelseserklæringer (Vedlegg C1/C2) ved støtte på andre foretak (økonomi/finans og/eller teknisk/faglig kvalifikasjon).Kilde: Regler for anskaffelsen punkt 3.3 + punkt 2.3.2
• Forespørsel om deltakelse: Besvarelse av kvalifikasjonskrav (Krav K4: vedlegg E) lastes opp i KGV.Kilde: Regler for anskaffelsen punkt 2.3.2
• Tilbud (fase 2): Tilbudsdokumenter skal leveres digitalt via KGV. Tilbud skal inneholde vedlegg: Tilbudsbrev (Vedlegg A2), Vedlegg B (avvik), Vedlegg D (HMS), Vedlegg F (russisk involvering), og utfylte SSA-L bilag 1-9.Kilde: Regler for anskaffelsen punkt 2.3.3
• Tilbud: SSA-L bilag 1-9 skal fylles ut (rubrikker krysset av ja/nei i avtalens bilag-oversikt).Kilde: Regler for anskaffelsen punkt 2.3.3 + SSA-L kontrakt (bilagsavkryssing)

Innleveringsvilkår fra kunngjøringen

Frist for forespørsel/tilbud

18.08.2026

Språk

norsk, English

Elektronisk katalog

Tillatt

• Etableringsfase skal omfatte planlegging, konfigurering, integrasjoner, datamigrering, testing, opplæring og overgang til ordinær drift. Leverandøren skal levere utkast til plan med tilbudet, og endelig plan godkjennes av Kunden før oppstart.Kilde: SSA-L Bilag 3 punkt 3.1
• Godkjenningsprøve: tjenesten skal være tilgjengelig senest 6 måneder etter kontraktsignering, og leverandøren skal sende leveransemelding når løsningen er klar. Godkjenningsprøven omfatter bl.a. test av bevaring/kassasjon, teknisk sjekk av mengder og testing av integrasjoner.Kilde: SSA-L Bilag 3 punkt 3.2-3.3 + SSA-L generell avtaletekst (godkjenningsprøve/leveringsdag)
• Leverandør har ansvar for at tjenesten oppfyller krav i Bilag 1 og Bilag 2 innen frister i Bilag 3. Leverandøren håndterer uønskede hendelser etter Bilag 4 (SLA/kompensasjoner).Kilde: SSA-L generell avtaletekst (Partenes overordnede ansvar/Leverandørens ansvar)
• Sikkerhet og personvern: Kunde-/Arbeidstilsynets data skal behandles kun i EØS, logging/overvåking og hendelseshåndtering med varsling uten ugrunnet opphold, beredskapsplanverk (RTO/RPO), tilgangsstyring og sikker utvikling/testing, databehandleravtale skal inngås før behandling.Kilde: SSA-L Bilag 1 (krav 14-16, 17-29, 26-27, 29-30 m.fl.)
• Sporbarhet og arkivfaglig håndtering: Arkivar-kvalitetssikring (metadata med sporbarhet, logging ved endring/sletting av feilregistreringer, flytting med historikk) og rollebasert funksjonalitet i tråd med (forenklet) Noark.Kilde: SSA-L Bilag 1 (krav 34 og 48 og 47)
• Migrering av eksisterende arkivbaser og kontrollert migrering med bevaring av struktur/metadata/relasjoner samt validering/kontroll.Kilde: SSA-L Bilag 1 (krav 8)
• Tjenesten skal leveres som SaaS og driftes av leverandøren; skal oppfylle krav til datasikkerhet/infosikkerhet og oppetid (bør minst 99%).Kilde: SSA-L Bilag 1 (krav 123-126)
• Opplæring: Leverandør skal levere opplæring for alle roller (e-læring + webinar) som del av etableringen; standard brukerdokumentasjon på norsk for de enkelte roller.Kilde: SSA-L Bilag 1 (krav 128-129) + SSA-L generell avtaletekst (dokumentasjon og opplæring)
• Oppetid og tjenestenivåavtale: Leverandøren skal legge frem standard SLA som gjelder for leveransen, og SLA-krav fremgår av Bilag 1 (inkl. oppetid og kundeportal).Kilde: SSA-L Bilag 4 + SSA-L Bilag 1 (krav relevans for SLA nevnt i innledning til Bilag 4)

• Dokumentteksten inneholder mange krav i Bilag 1, men kun et utvalg er eksplisitt identifisert med kravnummer/tekst utover det som vises; full tildelingsevaluering for alle E-krav kan ikke konkluderes uten resten av E-kravene som eventuelt ligger utenfor utdraget.
• Bilag 4 (SLA) og eventuelle konkrete oppetids-/kompensasjonsnivåer er kun nevnt; selve SLA-kravene/kompensasjonsregimet er ikke gjengitt i teksten du ga.
• SSA-L generell avtaletekst og flere punkter er ikke komplett gjengitt; kontraktsmessige misligholds- og sanksjonsbestemmelser utover det som fremkommer i utdraget kan ikke trekkes ut detaljert.
• Krav til innsyn, KI og byggesak har både M- og E-krav; i utdraget er ikke hele evalueringsgrunnlaget for E-kravene dokumentert ved alle kravnummer.

Punkter der konkurransedokumentene åpner for tolkning, og der en presisering fra oppdragsgiver kan ha betydning for prising og risiko. Spørsmål kan stilles innen fristene som er angitt i konkurransegrunnlaget.

1. I Bilag 1 krav 1–3: Dere skriver at løsningen må ivareta krav til arkivering og dokumentasjon «for statlige organer i Norge» basert på prinsipper for forenklet Noark-standard, samt at oppbevaring av digitalt arkiv skal skje i henhold til ny arkivlov og beskrive hvilket land dette skjer (krav 3). Kan dere bekrefte om dere forventer at selve arkivlagringen/”records”-funksjonaliteten (inkl. bevaring, integritet, endrings-/slettelogging og tilgang) faktisk skjer i EØS, og i så fall hvilke lands-/lokasjonskrav som gjelder utover “EØS”?

   Hvorfor det er verdt å spørre: Det påvirker både arkitekturvalg, sikkerhets- og personvernrisiko, og kostnadsnivå. Oppdragsgiver bør klargjøre hva som faktisk menes med «i hvilket land».

   Kilde: Bilag 1, krav 1–3 (arkivering/Noark-forenklet, oppbevaring av digitalt arkiv)

2. I Bilag 1 krav 4: Dere ber leverandøren kun svare ja/nei på støtte til en liste av felleskomponenter (eFormidling, eDialog, eSignering, eInnsyn, Folkeregister/enhetsregister, Altinn, Kontakt- og reservasjonsregisteret, Matrikkelen, Regruttering SAP Del av løsningen DFØ HR). Kan dere bekrefte forventet integrasjonsomfang for hver komponent – særlig om dette gjelder «API-kobling» med konkrete datatyper og flyter, eller om det kun kreves at løsningen har en integrasjonsmulighet/opsjon? Hvis omfanget varierer per komponent, ber vi om at dere angir hvilke komponenter som er obligatoriske å integrere med fullt omfang i denne anskaffelsen.

   Hvorfor det er verdt å spørre: Ja/nei uten presisering av «hva» gjør det vanskelig å prise riktig og kan gi risiko for avvik mellom tilbudt og evaluert oppfyllelse.

   Kilde: Bilag 1, krav 4

3. I Bilag 1 krav 8 og 51: Vi skal migrere flere aktive og historiske baser (krav 8) og samtidig sikre migrering/mulighet for videreføring av dagens aktive arkiv og tilgjengeliggjøring av historiske baser (krav 51). Kan dere spesifisere hvilke migreringsaktiviteter dere forventer at leverandøren gjør som del av fastprisen i Bilag 6 «Samlede etableringskostnader», inkludert: (i) datakvalitetssjekk/validering, (ii) opprydding/normalisering av metadata, (iii) testing av relasjoner, og (iv) antatt antall migreringsrunder/leveranser?

   Hvorfor det er verdt å spørre: Migrering av 4 aktive og flere historiske baser med store volum (millioner dokumenter/journalposter) er kostnadsdrivende og krever klar avgrensning av hva som inngår.

   Kilde: Bilag 1, krav 8 og 51; Bilag 6 (etableringskostnader)

4. I Bilag 1 krav 12: Dere beskriver at løsningen skal kunne konfigureres, oppdateres (release) og tilpasses, og nevner eksempler som Altinn 2.0 til 3.0, nye Svarut-versjoner og Office365. Kan dere beskrive forventet release-frekvens/servicemønster og hvordan dere ønsker at leverandøren skal håndtere «release window», varsling, samt om dere vil stille krav til maksimum varighet for eventuelle oppgraderingsvinduer/downtime (om dere har det, gi gjerne referanse til Bilag 4 eller andre steder).

   Hvorfor det er verdt å spørre: Release/oppgraderingsansvar er viktig for oppetid, drift og kostnadsforbruk. Oppdragsgiver bør si hvilke rammer som gjelder.

   Kilde: Bilag 1, krav 12; evt. Bilag 4 omtalt i kravspesifikasjonen

5. I Bilag 1 krav 17 og Bilag 1 krav 126 (oppetid): Dere ber leverandøren beskrive beredskapsplanverk med fokus på redundans, overvåking, gjenoppretting, alternativ drift og kontinuitet, inkludert oppgitt maksimal RTO og maksimalt akseptabelt datatap (RPO) (krav 17). I tillegg har dere et E-krav om oppetid minst 99% (krav 126). Kan dere bekrefte om oppetid på 99% skal måles i henhold til Bilag 4 SLA (og gi eventuelt hvilke komponenter/tjenestemoduler SLA-målingen omfatter), samt hvordan RTO/RPO vil evalueres (f.eks. om dere har ønskede intervaller eller graderingslogikk)?

   Hvorfor det er verdt å spørre: Uklare målemetoder for oppetid og hva som konkret forventes for RTO/RPO kan gi feilprising og feil forventninger i tilbudet.

   Kilde: Bilag 1, krav 17 og 126; Bilag 4 (SLA omtalt)

6. I Bilag 1 krav 29 (personopplysningsbrudd) og SSA-L punkt 9 (mislighold/sanksjoner): Dere beskriver at brudd skal varsles «uten ugrunnet opphold» innen GDPR art. 33 frist 72 timer. Kan dere bekrefte forventet varslingskanal og hvilket minimum av informasjon dere forventer i første varsel (f.eks. foreløpige vurderinger/omfang/berørte, eller om det først kan suppleres etterpå)? Vi ber også om bekreftelse på om dere forventer at leverandøren skal bistå i dialog med Datatilsynet innenfor en bestemt tidsramme.

   Hvorfor det er verdt å spørre: Operasjonelle detaljer rundt varsel påvirker prosess, bemanning og kostnad – og er kritisk for etterlevelse.

   Kilde: Bilag 1, krav 29; SSA-L (mislighold/sanksjoner og ansvar)

7. I Bilag 1 krav 73–76 og Bilag 1 krav 104–107: Løsningen skal (i) ha konsesjon fra DiBK (krav 73), (ii) motta digitale søknader via FtB (krav 74) og sende kvittering/registrere journalføre data (krav 75–76), samt (iii) støtte integrasjon for arkivering fra Microsoft 365 og ha støtte for API-integrasjoner (krav 104–107). Kan dere bekrefte hvilke av disse integrasjonene dere forventer at leverandøren leverer som «full ferdig konfigurasjon/klar til bruk»-integrasjon ved leveringsdag (ikke bare teknisk tilkoblingsmulighet), og hvilke deler som eventuelt kan være betinget av kundespesifikke set-up/parametere hos dere?

   Hvorfor det er verdt å spørre: Avgrensning mellom leverandørens leveranse og kundens medvirkning (konfig/tilganger) må være tydelig for korrekt kostnads- og risikoestimat.

   Kilde: Bilag 1, krav 73–76 og 104–107

8. I Bilag 1 krav 33 og 37–38 (KI/PII og sladding): Flere krav ber om KI utover M-krav eller «bør»-funksjonalitet (f.eks. KI-basert analyse av journalposter/dokumenter for skjerming/sladding (krav 37) og mekanismer for styring hva som publiseres på eInnsyn (krav 38). Kan dere beskrive hvordan dere vektlegger dette i evalueringen av E-krav (hva forventes i leverandørens besvarelse utover «beskriv») og om dere forventer dokumentasjon på konkret modell/ytelse (f.eks. PII-deteksjonsnøyaktighet, dokumentert prosess for menneskelig overstyring og sporbarhet)?

   Hvorfor det er verdt å spørre: KI-ytelse og evalueringsforventninger kan ha stor betydning for tilbudets innhold og kostnad, og bør avklares før endelig tilbud.

   Kilde: Bilag 1, krav 33, 37–38; Tildelingskriterier 4.1 / E-krav evaluering

9. I Bilag 6 (pris): Lisenspris er oppgitt som «Pr. bruker pr. år» og det står at «Antall brukere justeres en gang per år i tråd med inngitt pris per bruker». Kan dere beskrive hvordan dere forventer at antall brukere måles/rapporteres (hvem er «brukere», basert på aktive brukere, navngitte brukerkontoer eller målt faktisk bruk), og om justeringen kan gå både opp og ned?

   Hvorfor det er verdt å spørre: Prisemodellen er avhengig av definisjonen for brukergrunnlag og kan gi stor prisvariasjon over kontraktsperioden.

   Kilde: Bilag 6 «Samlet pris og prisbestemmelser» (lisenspris, brukerjustering)