Anskaffelse av løsningsekspert sikkerhet 2026025563

Åpen anbudskonkurranse (FOA del I og III) om avtale med én leverandør om løsningsekspert IT sikkerhet for Cyberforsvarets IT-avdeling (CIT)/DRIV, knyttet til SAP ERP-løsningen FIF. Rollen skal sikre at FIF/SAP oppfyller regulatoriske krav til identitets-, autorisasjons- og tilgangsstyring, støtte endrings-/sikkerhetsvurderinger, og bidra til intern og ekstern revisjon av FIF/SAP. Planlagt oppstart 01.01.27 (evt. tidligere ved ressurs-/autorisasjon), inntil 2000 timer tom. 31.12.2027, med ensidig opsjon/forlengelse inntil 3 år (inntil 6000 timer totalt) tom. 31.12.2030.

• Leverandøren skal være registrert i foretaksregister eller handelsregister i den staten leverandøren er etablert.

  Dokumentasjon: ESPD del IV, bokstav A: Egnethet (norske: firmaattest; utenlandske: bekreftelse på registrering).

  Kilde: Del 1, pkt. 4.3.4 / ESPD kvalifikasjonskrav – registrering
• Leverandøren skal ha nødvendig økonomisk og finansiell kapasitet til å utføre kontrakten (tilstrekkelig med kredittrating «kredittverdig» eller tilsvarende).

  Dokumentasjon: ESPD del IV, bokstav B: kredittvurdering fra anerkjent kredittvurderingsselskap basert på siste regnskapstall, ikke eldre enn 3 måneder.

  Kilde: Del 1, pkt. 4.3.4 / ESPD kvalifikasjonskrav – økonomi
• Leverandøren skal ha god erfaring fra lignende leveranser.

  Dokumentasjon: ESPD del IV, bokstav C: oversikt over 3 mest relevante oppdrag siste 3 år, inkl. verdi, utførelsestidspunkt, mottaker (navn, telefon, e-post) og kort beskrivelse. Relevans må dokumenteres; nyetablerte kan dokumentere erfaring via tilbudte personer/ressurser.

  Kilde: Del 1, pkt. 4.3.4 / ESPD kvalifikasjonskrav – teknisk/faglig
• Leverandøren skal ha et godt system for kvalitetssikring (min. rutiner for å sikre overholdelse av relevante lover og forskrifter).

  Dokumentasjon: ESPD del IV, bokstav D: beskrivelse av metoder for kvalitetssikring; evt. kopi av gyldig ISO 9001 eller tilsvarende sertifikat.

  Kilde: Del 1, pkt. 4.3.4 / ESPD kvalifikasjonskrav – kvalitetssystem
• Leverandøren skal ha dokumentert og gyldig miljøledelsessystem med rutiner for relevante miljøhensyn knyttet til tjenestene.

  Dokumentasjon: ESPD del IV, bokstav D: beskrivelse av miljøledelsestiltak; evt. kopi av gyldig ISO 14001/Miljøfyrtårn/EMAS eller tilsvarende sertifikat.

  Kilde: Del 1, pkt. 4.3.4 / ESPD kvalifikasjonskrav – miljøledelse

• Tilbudet skal leveres elektronisk i Mercell innen tilbudsfrist (11.09.2026 kl. 12:00).Kilde: Del 1, pkt. 2.3.2/6.1
• ESPD (elektronisk europeisk egenerklæringsskjema) skal fylles ut i Mercell og leveres sammen med tilbudet som foreløpig dokumentasjon på oppfyllelse av kvalifikasjonskrav og fravær av avvisningsgrunner.Kilde: Del 1, kap. 4 (ESPD) og pkt. 4.1-4.3
• Tilbudet skal inneholde: (1) Tilbudsbrev (Vedlegg 1), (2) Egenerklæring om etiske retningslinjer og sanksjonslover (Vedlegg 2), (3) evt. forpliktelseserklæring (Vedlegg 6) ved støtte, (4) evt. liste over avvik (Vedlegg 7), (5) SSA-B Bilag 1-7 (bilag 2, 4 og 5 fylles ut av leverandør), samt (6) evt. sladdet versjon av tilbudet.Kilde: Del 1, pkt. 6.2-6.4 (Tilbudsstruktur)
• Avvik skal angis presist og entydig i Vedlegg 7 (Avvik fra konkurransegrunnlaget), med referanse til bilag/punkt, og tydelig konsekvens for ytelse/pris/andre forhold.Kilde: Del 1, pkt. 3.6

Innleveringsvilkår fra kunngjøringen

Frist for forespørsel/tilbud

11.09.2026

Språk

norsk, English

Elektronisk katalog

Ikke tillatt

• Personell som skal yte bistand må kunne sikkerhetsklareres for HEMMELIG; autorisasjonssamtale og taushetserklæring før oppstart; tap av klarering gir grunnlag for heving med umiddelbar virkning.Kilde: Del 1, pkt. 3.2.1; Del 2/Bilag 1 punkt om organisering/arbeidssted og sikkerhetsklarering
• Kontraktsopstart og varighet: planlagt oppstart 01.01.27 (kan være tidligere ved autorisasjon), bistand inntil 2000 timer frem til 31.12.2027; oppdragsgiver har ensidig rett til forlengelse inntil 3 år/6000 timer (tom. 31.12.2030).Kilde: Bilag 3 (prosjekt- og fremdriftsplan) / Del 1 Varighet og omfang
• Arbeidssted: i Forsvarets lokaler (DRIV, Sjølystparken, Drammensveien 175-177, Oslo) med forbehold om flytting innen Oslo/Akershus uten ytterligere kompensasjon.Kilde: Bilag 1 (Organisering, arbeidssted og sikkerhetsklarering)
• Timeregistrering og faktureringsgrunnlag skal følge Forsvarets/oppdragsgivers prosedyrer; timelister datert og signert av arbeidsleder (evt. digital godkjenning).Kilde: Bilag 5 (Pris og prisbestemmelser)
• Oppdragsgiver kan avbestille bistanden med 30 dagers skriftlig varsel; ved midlertidig stansing med min. 5 dagers varsel (med kostnadsansvar for dokumenterte omdisponerings-/direkte kostnader).Kilde: SSA-B punkt 4.2 og 4.3
• Taushetsplikt: konfidensialitet for informasjon kjent gjennom avtalen; taushetsplikt opphører 5 år etter avtalens opphør med mindre annet er avtalt/bestemt av lov.Kilde: SSA-B punkt 5.3
• Informasjonssikkerhet: konsulenten skal iverksette forholdsmessige tiltak for konfidensialitet, hindre spredning/avvik, hindre utilsiktet endring/sletting og mot virus/skadelig programvare.Kilde: Bilag 6 (Endringer i SSA-B) – kapittel 11 Informasjonssikkerhet (11.1)

• Dokumentutdraget mangler konkrete detaljer i SSA-B bilag 1-2 spesifikasjonstabeller og bilag 1.3.2/1.3.3 (kun deler fremkommer).
• Det fremgår at ‘Språkkrav’ er et skal-krav (A), men evaluasjons-/avvisningsmekanikk for språk er ikke nærmere gjengitt utover ‘avvisning dersom ikke oppfylt’.
• Flere kontraktsdetaljer i SSA-B (f.eks. konkrete pris-/timeestimat i bilag 5 samt eventuelle terskler) er ikke eksplisitt oppgitt i utdraget, kun generelle rammer.

Punkter der konkurransedokumentene åpner for tolkning, og der en presisering fra oppdragsgiver kan ha betydning for prising og risiko. Spørsmål kan stilles innen fristene som er angitt i konkurransegrunnlaget.

1. I bilag 1 (Kundens beskrivelse av bistanden) listes flere konkrete arbeidsoppgaver innen SAP-sikkerhetsarkitektur, tilgangsstyring og revisjon. Kan oppdragsgiver beskrive hvilke av disse arbeidsoppgavene som forventes å være hovedleveranse i de første 3 månedene etter oppstart (og hvilke som er mer «ved behov»)?

   Hvorfor det er verdt å spørre: Leverandøren må kunne planlegge ressursbruk og beskrive/prise kapasitet riktig, særlig siden totalen er estimert (inntil 2000 timer) og rollen er sikkerhetsklarert.

   Kilde: Bilag 1 – Kundens beskrivelse av bistanden og arbeidsoppgaver

2. Kravtabellen i bilag 1 oppgir flere absolutte kompetansekrav (A*). Kan oppdragsgiver bekrefte hvordan erfaringen skal dokumenteres for å anses som «sannsynliggjort» for hvert av A*-kravene (f.eks. hvilke typer prosjekter/leveranser og hvilke elementer i CV som vektlegges)?

   Hvorfor det er verdt å spørre: Dette påvirker både hvordan leverandøren fyller ut kompetansetabellen og risikoen for avvisning ved manglende oppfyllelse.

   Kilde: Bilag 1 – Forsvarets kompetansekrav

3. Språkkravet er oppgitt som et skal-krav (A) i bilag 1, men evaluerings-/avvisningsmekanikk er omtalt overordnet. Kan oppdragsgiver utdype hvordan oppfyllelse av språkkravet kontrolleres (f.eks. intervju, test, dokumentasjon), og hva som anses som tilstrekkelig dokumentasjon for å unngå avvisning?

   Hvorfor det er verdt å spørre: Leverandøren trenger å forstå praktisk kontroll/risiko før tilbudsinnlevering.

   Kilde: Bilag 1 – Språkkrav

4. I bilag 5 er timesatsen «fast timepris der alle Leverandørens kostnader er innberegnet», og det fremgår at utlegg, overtid, reise-/diett og reisetid normalt ikke dekkes, med unntak for pålagte tjenestereiser utenfor Oslo/Akershus. Kan oppdragsgiver bekrefte om arbeid utenfor DRIV sine lokaler i Oslo (f.eks. møter hos andre forsvarsaktører, befaring, workshops) alltid regnes som «tjenestereise» eller om noe skal leveres innenfor timeprisen?

   Hvorfor det er verdt å spørre: Uklart reisekost-/faktureringsregime kan gi feil pris og mislighold/krangel om fakturagrunnlag.

   Kilde: Bilag 5 – Pris og prisbestemmelser (reiser/utlegg/reisetid)

5. I bilag 5 står det at timelister skal månedlig avrundes til nærmeste halve time, og at krav som ikke er inkludert i fakturaen ikke kan fremmes mer enn tre måneder etter faktureringstidspunktet. Kan oppdragsgiver presisere hvordan dette håndteres ved forsinkelser i godkjenning av timelister (f.eks. dersom arbeidsleder signerer etter periodens slutt)?

   Hvorfor det er verdt å spørre: Dette påvirker leverandørens faktureringsrutiner og risiko for tapte krav.

   Kilde: Bilag 5 – Fakturering (timelister, avrunding, 3-måneders frist)

6. SSA-B punkt 5.2 (Nøkkelpersonell) slår fast at skifte av nøkkelpersonell må godkjennes av Kunden, og at godkjenning ikke kan nektes uten saklig grunn. Kan oppdragsgiver beskrive hva som normalt anses som «saklig grunn» for å nekte/ikke godkjenne skifte (særlig gitt behovet for sikkerhetsklarering for HEMMELIG)?

   Hvorfor det er verdt å spørre: Leverandøren må kunne vurdere bemannings- og kontinuitetsrisiko gjennom hele avtaleperioden og evt. opsjon.

   Kilde: SSA-B – punkt 5.2 Nøkkelpersonell

7. SSA-B punkt 4.2 (Avbestilling) gir Kunden 30 dagers varsel og betaling av allerede utført arbeid, dokumenterte kostnader knyttet til omdisponering av personell, og andre direkte kostnader. Kan oppdragsgiver utdype hvilke kostnadstyper som typisk godtas som «dokumenterte kostnader knyttet til omdisponering av personell» (og hvilken dokumentasjon som kreves)?

   Hvorfor det er verdt å spørre: Dette reduserer leverandørens økonomiske risiko ved tidlig avbestilling eller reduksjon i behov.

   Kilde: SSA-B – punkt 4.2 Avbestilling

8. SSA-B punkt 11.1 (Informasjonssikkerhet) er lagt inn som endring i bilag 6. Kan oppdragsgiver angi hvilken sikkerhetsstandard/prosess Tiltak «forholdsmessige tiltak» skal bygge på i praksis (f.eks. krav til håndtering av konfidensialitet, tilgangsstyring, logg/gjennomgang, evt. krav til verktøy/kommunikasjon), og om oppdragsgiver tilbyr maler eller minimumskrav?

   Hvorfor det er verdt å spørre: Leverandøren trenger å forstå konkrete forventninger for å kunne levere og dokumentere informasjonssikkerhet korrekt, særlig i en HEMMELIG setting.

   Kilde: Bilag 6 – Endringer i SSA-B (punkt 11.1 Informasjonssikkerhet)

9. Kontrakten angir at rollen kan forlenge ensidig med inntil 3 år (opsjon), og at opsjonen kan utløses helt eller delvis. Kan oppdragsgiver beskrive hvilke typer endringer som typisk kan følge ved utløsing av opsjon (f.eks. endret timebehov, forlengelse av kompetanseperiode, endrede arbeidsoppgaver), og om timepris indeksreguleres også i opsjonsperioden?

   Hvorfor det er verdt å spørre: Leverandøren må vurdere totalrisiko, planlegging og prisoppgjør fram til maksimal varighet.

   Kilde: Regler for anskaffelsen (Varighet og omfang) + Bilag 3 (fremdriftsplan) + Bilag 6/Prisbestemmelser (indeksregulering)

10. I bilag 4 (Administrative bestemmelser) skal bemyndiget representant og nøkkelpersonell fylles ut. Kan oppdragsgiver bekrefte om det er forventet at CV/referanser for nøkkelpersonell oppdateres ved eventuell oppstart tidligere enn 01.01.27, og hvordan dette håndteres dersom sikkerhetsklarering forsinker oppstart?

    Hvorfor det er verdt å spørre: Det påvirker dokumentasjonsplikt, tidsplan og leveringsforpliktelser ved endret oppstartsdato.

    Kilde: Bilag 4 – Administrative bestemmelser (partenes representanter/nøkkelpersonell) og bilag 1/bilag 3 (oppstart/varighet)