Anskaffelse av IT-drift og sikkerhet

Anskaffelse av IT-drift og sikkerhet for Direktoratet for mineralforvaltning med Bergmesteren for Svalbard (DMF-IT-drift-2026). Omfatter etablering/migrering, 24/7/365 drift med servicedesk, managed security/compliance, identitet og tilgang (Entra ID/IAM), klient-/mobiladministrasjon (Intune), drift av Microsoft 365, plattform- og cloud operation (server OS, backup/DR, logging, sikkerhet), compute/storage (private/sovereign), connectivity (nettverk/WAN/LAN/WiFi) samt lisenser. I tillegg kreves egenerklæringer/redegjørelser (sanksjoner, menneskerettigheter/arbeidsforhold, lærlinger, universell utforming, regulatorisk klassifisering av KI, håndtering av regulatoriske endringer) og databehandler-/personvernkrav (inkl. underdatabehandlere, revisjon, sikkerhet, sletting/tilbakelevering).

• Ved støtte på annen virksomhets kapasitet skal støttende virksomhet forplikte seg til å stille angitt kapasitet til rådighet for å oppfylle kvalifikasjonskrav og gjennomføre kontrakt (gjelder fra tilbudsfrist og hele kontraktsperioden, inkludert opsjoner/forlengelser).

  Dokumentasjon: Vedlegg 2 – Forpliktelseserklæring (skal fylles ut for støttende virksomhet/k=mysql).

  Kilde: Vedlegg 2 - Forpliktelseserklæring, punkt 3 (Forpliktelse)
• Støttende virksomhet skal bekrefte at det ikke foreligger kjente avvisningsgrunner som hindrer at leverandøren kan støtte seg på virksomhetens kapasitet.

  Dokumentasjon: Vedlegg 2 – Forpliktelseserklæring (bekreftelse nr. 1).

  Kilde: Vedlegg 2 - Forpliktelseserklæring, punkt 4 (Avvisningsgrunner, sanksjoner og etterlevelse), nr. 1
• Støttende virksomhet skal bekrefte at den ikke er omfattet av sanksjoner/restriktive tiltak/forbud som hindrer tildeling eller kontraktsgjennomføring.

  Dokumentasjon: Vedlegg 2 – Forpliktelseserklæring (bekreftelse nr. 2).

  Kilde: Vedlegg 2 - Forpliktelseserklæring, punkt 4, nr. 2
• Støttende virksomhet skal bekrefte etterlevelse av relevante krav til informasjonssikkerhet, personvern, taushetsplikt, lønns- og arbeidsvilkår, menneskerettigheter og anstendige arbeidsforhold der relevant for leveransen.

  Dokumentasjon: Vedlegg 2 – Forpliktelseserklæring (bekreftelse nr. 3).

  Kilde: Vedlegg 2 - Forpliktelseserklæring, punkt 4, nr. 3
• Støttende virksomhet skal bekrefte at eventuelle underleverandører den selv benytter skal oppgis og følges opp i samsvar med konkurransegrunnlaget og kontrakten.

  Dokumentasjon: Vedlegg 2 – Forpliktelseserklæring (bekreftelse nr. 4).

  Kilde: Vedlegg 2 - Forpliktelseserklæring, punkt 4, nr. 4

• Tilbudsbrev/utfylt tilbudsskjema leveres sammen med tilbudet.Kilde: Vedlegg 1 - Tilbudsskjema, punkt 4 (Dokumenter levert sammen med tilbudet)
• Utfylt prisskjema leveres sammen med tilbudet.Kilde: Vedlegg 1 - Tilbudsskjema, punkt 4
• ESPD-egenerklæring leveres sammen med tilbudet.Kilde: Vedlegg 1 - Tilbudsskjema, punkt 4
• Dokumentasjon på kvalifikasjonskrav leveres sammen med tilbudet.Kilde: Vedlegg 1 - Tilbudsskjema, punkt 4
• Utfylt Bilag 1.1 (Kravtabeller og leverandørens besvarelse) leveres sammen med tilbudet.Kilde: Vedlegg 1 - Tilbudsskjema, punkt 4
• Utfylt Bilag 2 (Leverandørens løsningsspesifikasjon) leveres sammen med tilbudet.Kilde: Vedlegg 1 - Tilbudsskjema, punkt 4
• Utfylt Bilag 4 (Prosjekt- og fremdriftsplan for etableringsfasen) leveres sammen med tilbudet.Kilde: Vedlegg 1 - Tilbudsskjema, punkt 4
• Utfylt Bilag 6 (Administrative bestemmelser) leveres sammen med tilbudet.Kilde: Vedlegg 1 - Tilbudsskjema, punkt 4
• Utfylt Bilag 10 (relevante standard lisensvilkår, standardvilkår og vilkår for fri programvare) leveres sammen med tilbudet.Kilde: Vedlegg 1 - Tilbudsskjema, punkt 4
• Utfylt Bilag 11 (Databehandleravtale med bilag) leveres sammen med tilbudet.Kilde: Vedlegg 1 - Tilbudsskjema, punkt 4
• Oversikt over underleverandører og eventuelle forpliktelseserklæringer leveres sammen med tilbudet.Kilde: Vedlegg 1 - Tilbudsskjema, punkt 4
• Sladdet versjon av tilbudet leveres sammen med tilbudet.Kilde: Vedlegg 1 - Tilbudsskjema, punkt 4
• Egenerklæring om sanksjoner og restriktive tiltak leveres sammen med tilbudet.Kilde: Vedlegg 1 - Tilbudsskjema, punkt 4
• Redegjørelse for menneskerettigheter, anstendige arbeidsforhold og ansvarlig leverandørkjede leveres sammen med tilbudet.Kilde: Vedlegg 1 - Tilbudsskjema, punkt 4
• Opplysninger om lærlingordning eller begrunnelse for hvorfor krav om lærling ikke er relevant leveres sammen med tilbudet.Kilde: Vedlegg 1 - Tilbudsskjema, punkt 4
• Redegjørelse for universell utforming av brukerrettede digitale grensesnitt leveres sammen med tilbudet.Kilde: Vedlegg 1 - Tilbudsskjema, punkt 4
• Regulatorisk klassifisering av KI-, maskinlærings- og automasjonsfunksjoner leveres sammen med tilbudet.Kilde: Vedlegg 1 - Tilbudsskjema, punkt 4
• Redegjørelse for håndtering av relevante regulatoriske endringer i avtaleperioden leveres sammen med tilbudet.Kilde: Vedlegg 1 - Tilbudsskjema, punkt 4
• Forpliktelseserklæring vedlegges dersom leverandøren støtter seg på kapasiteten til annen virksomhet.Kilde: Vedlegg 1 - Tilbudsskjema, punkt 6 (Underleverandører og støttende virksomheter)

Innleveringsvilkår fra kunngjøringen

Frist for forespørsel/tilbud

03.09.2026

Språk

norsk, English

Elektronisk katalog

Ikke tillatt

• All-inclusive-prinsipp: Alle tjenester nødvendige for å oppfylle kravene i Bilag 1, Bilag 5, Bilag 6 og Bilag 11 skal være inkludert i fast-/enhetsbasert vederlag, med mindre prisskjemaet uttrykkelig angir opsjon eller timebasert tillegg.Kilde: Prisskjema_IT_drift_DMF_2026_FINAL_v4_KLAR, ark 'Instruks' (Prislogikk – all-inclusive)
• Regulering og faktureringskategori: prisposter skal skilles i faktura/rapporter i tre reguleringstyper (Tjenesteindeks/KPI, Tredjepartslisens, Forbruksbasert) for å identifisere beregningsgrunnlag for standardisert kompensasjon.Kilde: Prisskjema_IT_drift_DMF_2026_FINAL_v4_KLAR, ark 'Instruks' (Prisregulering)
• Krav til etableringsfaseleveranser: leverandør skal utarbeide prosjektplan, detaljplan, testplaner og samhandlingsplan/driftsspesifikasjon før godkjenningsperioden, og gjennomføre test før oppstartsdag med rapport og godkjenning.Kilde: IT_drift_2026_ssa-d_generell_avtaletekst.pdf, kapittel 2.3 (Etablering) og 2.3.4 (Test før oppstartsdag)
• Godkjenningsperiode: fra oppstartsdag løper godkjenningsperiode på 2 måneder (med mindre annet i bilag 4). Driftstjenesten anses godkjent ved passivitet.Kilde: IT_drift_2026_ssa-d_generell_avtaletekst.pdf, punkt 2.3.6 (Godkjenningsperiode), særlig 2.3.6.5
• Ordinær drift: leverandør er ansvarlig for tjenestenivå iht. bilag 5; uønskede hendelser håndteres innen frister i bilag 5 og kan gi standardisert kompensasjon.Kilde: IT_drift_2026_ssa-d_generell_avtaletekst.pdf, punkt 2.4.1 og 2.4.2
• Beredskaps- og katastrofeøvelser: leverandør skal ha beredskaps- og katastrofeplaner og gjennomføre øvelser minst én gang per år (med mindre annet fremgår av bilag 1).Kilde: IT_drift_2026_ssa-d_generell_avtaletekst.pdf, punkt 2.4.7
• Revisjon: kunden har rett til revisjon/inspeksjon for å verifisere etterlevelse; vanligvis én gang per år (med mindre frister/prosedyre i bilag 6 eller konkrete pålegg). Leverandør skal yte bistand.Kilde: IT_drift_2026_ssa-d_generell_avtaletekst.pdf, punkt 2.4.8 (Revisjon)
• Personvern/databehandleravtale: databehandler skal iverksette egnede tekniske/organisatoriske tiltak, risikovurderinger, logging/tilgangsstyring etter instrukser, melde brudd uten ugrunnet opphold, ha rutiner for revisjon, og sikre sletting/tilbakelevering/utnyttelse av backup-løsninger ved opphør.Kilde: IT_drift_2026_dba_generell_avtaletekst_2020_no.pdf (Databehandleravtale), punkter 7-8 og 11-12; samt Bilag C (sikkerhet, revisjon, sletting/tilbakelevering)
• Underleverandører ved personvernbehandling: databehandler kan ikke bruke nye/endre underdatabehandlere uten spesifikk forhåndsgodkjenning; bevegelse krever forespørsel og angitte minimumsopplysninger.Kilde: IT_drift_2026_databehandleravtale_bilag_2020.pdf (Bilag B, punkt B.1)

• Utdraget inneholder ikke selve kvalifikasjonskravene fra konkurransegrunnlaget (kun maler for egenerklæringer og forpliktelseserklæring ved kapasitetssupport).
• Tildelingskriteriets vekt for pris er ikke oppgitt i utdraget; kun at 'samlet evalueringspris' brukes under tildelingskriteriet Pris.
• Avvisningsgrunner og kvalifikasjonsdokumentasjon utover sanksjoner/etterlevelse ved støtte er ikke spesifisert i utdraget.

Punkter der konkurransedokumentene åpner for tolkning, og der en presisering fra oppdragsgiver kan ha betydning for prising og risiko. Spørsmål kan stilles innen fristene som er angitt i konkurransegrunnlaget.

1. I Bilag 1.1 krav-ID A7: Hvilke(n) «støtteverktøy, portaler, driftsverktøy, sikkerhetsverktøy og standardprogramvare» forventer DMF at leverandøren skal prise inn i Bilag 7 (fast/mnd eller enhetspris), og hvilke skal leveres som opsjoner eller timebaserte tillegg? Vennligst bekreft om det finnes en eksplisitt avgrensning i Bilag 7/prisskjemaet.

   Hvorfor det er verdt å spørre: For å prise riktig og unngå avvik/forbehold må leverandøren vite hva som er inkludert i basisleveransen versus opsjoner/timepriser.

   Kilde: Bilag 1.1 – A7 (Besvarelseskrav om støtteverktøy og kostnadsplassering) og Bilag 7/prisskjema (struktur for inkludert vs opsjon/timepriser)

2. I Bilag 1.1 krav-ID C2/C12 og Bilag 5: DMF krever brukerstøtte/servicedesk 24/7/365. Kan DMF spesifisere hvilke bemannings- og/eller lokasjonskrav som gjelder (f.eks. krav til døgnbemanning i Norge vs offshore, språkkompetanse per skift, eskalering 1./2./3.-linje), og hvordan DMF forventer at dette dokumenteres i tilbudet?

   Hvorfor det er verdt å spørre: Bemanningsmodell og leveranselogistikk påvirker både kostnad og hvordan leverandøren kan oppfylle M-kravene.

   Kilde: Bilag 1.1 – C2 og C12 (servicedesk 24/7/365) samt Bilag 5 (tjenestenivå/responstider/kompensasjoner)

3. I Bilag 1.1 krav-ID H1/H8 og Bilag 5: MDR/SOC skal være 24/7/365 og dekke deteksjon/analyse/respons/rapportering. Hva er DMFs forventede dekningsområde i praksis (hvilke miljøkilder/loggkilder, hvilke hendelsestyper og hvilke responshandlinger som skal være «innenfor MDR» vs «innenfor leverandørens øvrige driftstjenester»)?

   Hvorfor det er verdt å spørre: Tydelig avgrensning av SOC/MDR-leveranse er avgjørende for både kapasitet, bemanning, teknologi og pris.

   Kilde: Bilag 1.1 – H1 og H8 (MDR/SOC og responstider/rapportering) og Bilag 5 (hendelseshåndtering/tjenestenivå)

4. I Bilag 1.1 krav-ID J6/J7/O001: Off-site backup i Norge gjennom colocation/managed colocation er delvis basis og delvis opsjon. Kan DMF bekrefte hva som inngår i basisleveransen for «off-site backup» (f.eks. aksesstjenester, replikasjon, immutability, restore-testing, rapportering), og hva som konkret er ekskludert og dermed skal prises i opsjon O001?

   Hvorfor det er verdt å spørre: Uavklarte grensesnitt mellom basis og opsjon gir høy risiko for feil prising og avvik.

   Kilde: Bilag 1.1 – J6 og J7 (off-site backup og opsjon O001) samt Bilag 7/prisskjema (opsjon O001)

5. I Bilag 1.1 krav-ID J2/J5 og SSA-D 2.4.7: DMF beskriver krav om minst én sikkerhets-/beredskapsøvelse per år og utvidet gjenopprettingsøvelse annet hvert år. Kan DMF konkretisere hvilke scenarioer DMF forventer at leverandøren prioriterer, og om DMF leverer «liste over berørte systemer/tjenester» for øvelsene eller om leverandøren skal foreslå dette?

   Hvorfor det er verdt å spørre: Valg av øvingsscenarioer og hvilke systemer som skal testes påvirker både plan, gjennomføring, ressursbruk og kostnad (særlig ved behov for produksjonsnært testmiljø).

   Kilde: Bilag 1.1 – J5 (sikkerhetsøvelser) og J2 (gjenopprettingstester) samt SSA-D punkt 2.4.7 Planer og øvelser for beredskap og katastrofer

6. I Bilag 1.1 krav-ID B6 og Bilag 6: DMF krever universell utforming for digitale grensesnitt «så langt løsningen omfattes av regelverket». Hvilket regelverksnivå/standard legger DMF til grunn (f.eks. WCAG-nivå), og gjelder kravet alle portaler/grensesnitt i Bilag 2 som leverandøren tilbyr (inkl. eventuelle API/selvbetjeningsfunksjoner)?

   Hvorfor det er verdt å spørre: Universell utforming kan medføre spesifikke tekniske krav og test-/tilpasningskostnader; leverandøren må vite hva som faktisk omfattes.

   Kilde: Bilag 1.1 – B6 (universell utforming) og Bilag 6 (eventuelle krav knyttet til dokumentasjon/grensesnitt/gjennomføring)

7. I Bilag 1.1 krav-ID K12 og Bilag 6: Krav om sikker, overvåket og loggført fjernadministrasjon for drift og vedlikehold i leverandørens driftsmiljø. Hvilke minimumskrav stiller DMF til fjernadministrasjonsmetode (f.eks. bastion/VPN, MFA, session recording, tilgangsgodkjenning, varighetsbegrensninger, logging-retensjon), og finnes det krav til hvor lenge logging skal lagres før sletting/eksport?

   Hvorfor det er verdt å spørre: Dette påvirker både arkitektur, sikkerhetsdesign og leveransekostnad, og feil scope kan skape avvik.

   Kilde: Bilag 1.1 – K12 (fjernadministrasjon) og Bilag 6 (administrative bestemmelser knyttet til sikkerhet/dokumentasjon hvis relevant)

8. I Bilag 1.1 krav-ID I7/I8 og Bilag 5: DMF krever revisjons-/tilsvarende dokumentasjon (ISAE/SOC 2/ISO-revisjon mv.) og at hendelser logges/overvåkes 24/7/365. Kan DMF presisere om leverandøren må ha dekning av spesifikke kontrollområder/kilder i revisjonsrapporten (scope), og om det er tilstrekkelig å levere en rapport som dekker leverandørens «standard SOC» selv om DMF-miljøet er et delmiljø?

   Hvorfor det er verdt å spørre: ESPD/kvalifikasjon og senere etterlevelsesdokumentasjon kan kreve at scope matcher leveransen; leverandøren trenger å forstå akseptkriteriene.

   Kilde: Bilag 1.1 – I7 (revisjonsrapporter/virker kontroller) og I8 (overvåke/logge håndtere hendelser) samt Bilag 5 (rapporteringskrav)