Anskaffelse av IT sikkerhetsrådgiver 202602793

Oppdragsgiver Forsvarsmateriell (FMA) skal inngå avtale med én leverandør om IT-sikkerhetsrådgiver/rådgivende konsulent til enabling-team «Fagapplikasjoner» hos Cyberforsvarets IT-avdeling (DRIV). Konsulenten skal bistå med overvåking og kartlegging av sikkerhetstilstand for applikasjonsportefølje, sikkerhetsrevisjon, risiko-/sårbarhetsvurderinger, forslag og gjennomføring av utbedringstiltak, samt bistand til anskaffelser, oppgraderinger og gjennomføring av sikkerhetsgodkjenninger for FIF applikasjoner. Varighet til 31.12.2027 med inntil 2000 timer, og opsjon på ensidig forlengelse inntil 3 år/ytterligere 6000 timer (maks 31.12.2030). Oppstart tiltenkt 01.01.27, men kan være tidligere hvis konsulenten kan autoriseres. Arbeidssted DRIV sine lokaler i Oslo (Sjølystparken). Personell må kunne sikkerhetsklareres for HEMMELIG før oppstart; avtalen kan heves ved tap av klarering.

• Leverandøren skal være registrert i foretaksregister eller handelsregister i den staten leverandøren er etablert.

  Dokumentasjon: ESPD del IV bokstav A: Egnethet. Norske leverandører: firmaattest. Utenlandske leverandører: bekreftelse på registrering.

  Kilde: Del 1, pkt. 4.3.4 «Kvalifikasjonskrav»; ESPD del IV bokstav A (registrering/egnethet)
• Leverandøren skal ha nødvendig økonomisk og finansiell kapasitet. Tilfredsstilles ved kredittratingen «kredittverdig» (eller tilsvarende).

  Dokumentasjon: ESPD del IV bokstav B: Økonomisk og finansiell kapasitet. Kredittvurdering fra anerkjent kredittvurderingsselskap basert på siste regnskapstall, ikke eldre enn 3 måneder.

  Kilde: Del 1, pkt. 4.3.4 «Kvalifikasjonskrav»; ESPD del IV bokstav B
• Leverandøren skal ha god erfaring fra lignende leveranser.

  Dokumentasjon: ESPD del IV bokstav C: Tekniske og faglige kvalifikasjoner. Oversikt over 3 mest relevante oppdrag siste 3 år, inkludert verdi, utførelsestidspunkt, mottaker (navn/telefon/e-post) og kort beskrivelse. Leverandøren må dokumentere relevans gjennom beskrivelsen; nyetablerte kan vise til erfaring opparbeidet av tilbudte personer/ressurser i tjeneste hos andre.

  Kilde: Del 1, pkt. 4.3.4 «Kvalifikasjonskrav»; ESPD del IV bokstav C
• Leverandøren skal ha et godt kvalitetsstyringssystem med rutiner som sikrer overholdelse av relevante lover og forskrifter for den delen som arbeider med kontrakten.

  Dokumentasjon: ESPD del IV bokstav D: Kvalitetssikrings- og miljøledelsesstandarder. Beskrivelse av metoder for kvalitetssikring; ved ISO 9001 eller tilsvarende: kopi av gyldig sertifikat.

  Kilde: Del 1, pkt. 4.3.4 «Kvalifikasjonskrav»; ESPD del IV bokstav D
• Leverandøren skal ha dokumentert og gyldig miljøledelsessystem med rutiner/struktur for å ivareta relevante miljøhensyn knyttet til tjenestene som leveres.

  Dokumentasjon: ESPD del IV bokstav D: beskrivelse av miljøledelsestiltak; ved ISO 14001, Miljøfyrtårn, EMAS eller tilsvarende: kopi av gyldig sertifikat.

  Kilde: Del 1, pkt. 4.3.4 «Kvalifikasjonskrav»; ESPD del IV bokstav D
• (Sanksjons-/etikkrelatert erklæring som del av leverandørens forpliktelser i konkurransen).

  Dokumentasjon: Vedlegg 2 Egenerklæring vedrørende overholdelse av etiske retningslinjer og sanksjonslover (mal) – erklærer ikke russisk involvering ved utøvelse av kontrakten.

  Kilde: Del 1, pkt. 1.6 «Internasjonale sanksjoner - Russisk involvering»; Vedlegg 2

• ESPD skal leveres sammen med tilbudet som foreløpig dokumentasjon på oppfyllelse av kvalifikasjonskrav og at det ikke foreligger grunner for avvisning. ESPD fylles ut integrert i Mercell.Kilde: Del 1, pkt. 4 «Det elektroniske europeiske egenerklæringsskjemaet (ESPD)», pkt. 4.1
• Tilbud skal inneholde følgende dokumenter i utfylt stand (i tillegg til ESPD i Mercell): Tilbudsbrev (Vedlegg 1); Egenerklæring etikk/sanksjoner (Vedlegg 2); evt. Forpliktelseserklæring (Vedlegg 6) ved støtte fra andre virksomheter; evt. Liste over avvik (Vedlegg 7); SSA-B Bilag 1-7 (bilag 2, 4 og 5 fylles ut av leverandør); evt. sladdet versjon av tilbudet.Kilde: Del 1, pkt. 6.2 «Tilbudsstruktur»
• Eventuelle avvik fra konkurransegrunnlaget skal angis presist og entydig i Vedlegg 7 «Liste over avvik og forbehold», med referanse til relevant bilag og punkt, og konsekvens.Kilde: Del 1, pkt. 3.6 «Avvik fra konkurransegrunnlaget og avvisning» samt Vedlegg 7

Innleveringsvilkår fra kunngjøringen

Frist for forespørsel/tilbud

11.09.2026

Språk

norsk, English

Elektronisk katalog

Ikke tillatt

• Varighet/omfang: bistand i inntil 2000 timer i perioden fra oppstart til 31.12.2027; oppdragsgiver har ensidig rett til forlengelse inntil 3 år (inntil 6000 timer), maks total varighet til 31.12.2030.Kilde: Del 1, pkt. «Varighet og omfang»; Bilag 3
• Opsjon/uttak er estimater; konkret uttak avhenger av behov hos tilknyttede parter.Kilde: Del 1, «Varighet og omfang»
• Oppstart 01.01.27 (eventuelt tidligere dersom konsulent kan autoriseres); oppstartstidspunkt avhenger av når konsulenten kan autoriseres og avtales med arbeidsleder/sikkerhetsleder.Kilde: Del 1, «Varighet og omfang»; Bilag 3
• Kontraktsform: en leverandør.Kilde: Del 1, «Kontraktstype»
• Sikkerhetsklarering: konsulent/ personell som skal yte bistand må kunne sikkerhetsklareres for HEMMELIG før bistanden kan påbegynnes; autorisasjonssamtale vil avholdes; tap av klarering gir oppdragsgiver grunnlag for å heve avtalen med umiddelbar virkning.Kilde: Del 1, pkt. 3.2 «Sikkerhet»; Bilag 1 (sikkerhetsklarering)
• Taushetserklæring skal signeres før oppdraget påbegynnes; konsulenten skal ikke gi uttalelser til pressen.Kilde: Bilag 1 (taushetserklæring før oppstart; ingen presseuttalelser)

• Dokumentteksten inneholder ikke selve SSA-B bilag 1.3.3 som er referert i tildelingskriteriet (kun deler av Bilag 1-tekst for kompetanse).
• Konkrete kontrakts-/utførelseskrav utover de som fremgår av bilag 1 (arbeidsoppgaver, kompetansetabell, plassering, timeregistrering, sluttrapport/erfaringsrapporter) er ikke fullt gjengitt i denne utdragsteksten.
• Det fremgår ikke i Del 1-tekst hvilke konkrete mekanismer/krav som gjelder for underleverandører i selve bilagene (kun at det er en «liste over avvik» og at underleverandører skal være godkjent i Bilag 4).

Punkter der konkurransedokumentene åpner for tolkning, og der en presisering fra oppdragsgiver kan ha betydning for prising og risiko. Spørsmål kan stilles innen fristene som er angitt i konkurransegrunnlaget.

1. I tildelingskriteriet «Kvalitet» vises det til Del 2, SSA-B bilag 1 pkt. 1.3.3 «Krav til kompetanse». Kan Oppdrager bekrefte hvilket dokumentert kompetansegrunnlag som gjelder i denne konkurransen, og oppgi nøyaktig hvilke delpunkter i bilag 1 som inngår i evalueringen (inkl. om pkt. 1.3.3 er identisk med kompetansekravene som fremgår av bilag 1-teksten i konkurransegrunnlaget)?

   Hvorfor det er verdt å spørre: Det er risiko for feilfortolkning av hvilket kompetansekrav som faktisk evalueres, særlig når referansen til SSA-B bilag 1 pkt. 1.3.3 ikke fremstår fullt gjengitt i utdraget. Avklaring reduserer risiko for feilprising/feil tilbudsinnhold.

   Kilde: Del 1, pkt. 5.1 «Kvalitet» (henvisning til Del 2 SSA-B bilag 1 pkt. 1.3.3).

2. I bilag 1 «Krav til kompetanse» står flere kompetansekrav som «A*» (absolutte/skal-krav). Kan Oppdrager bekrefte hvordan tilbudet vurderes dersom konsulentens CV dekker relevant erfaring på en indirekte eller delvis måte (f.eks. overlapper med deler av kriteriet, eller erfaringen er fra nærliggende regulatorisk rammeverk)? Hvilke «beviskrav»/dokumentasjonskrav må være oppfylt for å få «Ja» i kravtabellen på hvert A*-krav?

   Hvorfor det er verdt å spørre: Leverandøren må kunne beslutte riktig marked/kompetanse og skrive «Ja/Nei» i kompetansetabellen. Avklaring er nødvendig for å unngå avvisning/ikke bestått på skal-krav.

   Kilde: Bilag 1 «Krav til kompetanse» (A* / dokumentasjonskrav og «Oppfylt (Ja/Nei)»).

3. Hvordan vil Oppdrager vekte eller tolke «A*» vs. «B» i evalueringen av «Kvalitet» (70 %): Forutsetter evalueringen at A*-kravene er 100 % oppfylt for å få score på kvalitet, og vil B-kravene gi poeng utover minimumskrav selv om noen B-krav kun delvis dokumenteres?

   Hvorfor det er verdt å spørre: Tydelighet i evalueringen er viktig for leverandørens ressursvalg og tilbudsstrategi (hvilken merverdi som faktisk gir poeng).

   Kilde: Del 1, pkt. 5.1 «Kvalitet» og bilag 1 «Type krav» (A* og B).

4. Pris-delen (30 %) baserer seg på «Tilbudt timespris på konsulentbistand». Kan Oppdrager bekrefte om det kun er én timepris som sammenlignes, og at det ikke finnes andre pris-/kostnadselementer som påvirker poeng (f.eks. utlegg, overtid, reise-/diett, eller eventuelle tillegg) i prisevalueringen?

   Hvorfor det er verdt å spørre: For å kunne prise korrekt og unngå at skjulte elementer påvirker poeng, må det avklares om evalueringen kun bruker timeprisen og hvordan øvrige kostposter behandles.

   Kilde: Del 1, pkt. 5.1 «Pris» (30 %), samt bilag 5 «Pris og prisbestemmelser».

5. I bilag 5 «Pris og prisbestemmelser» fremgår det at utlegg/over-/reiser ikke dekkes utover fast avtalt unntak, og at det kun dekkes ved tjenestereise utenfor Oslo/Akershus-området som Oppdrager pålegger. Kan Oppdrager presisere: (1) om «pålagt tjenestereise» også omfatter reise til andre steder innen Oslo/Akershus (hvis behov oppstår), (2) hva som anses som normal arbeidstid for formålet «08:00–16:00» dersom reisetid pålegges etter fleksible arbeidstidsordninger?

   Hvorfor det er verdt å spørre: Kontrakts-/prisoppsett kan gi leverandøren vesentlig risiko hvis terskler for hvilke reiser som dekkes er uklare, og dersom arbeidstidsdefinisjonen ikke matcher praksis.

   Kilde: Bilag 5 «Pris og prisbestemmelser» (dekning av utgifter/reisetid og «08:00–16:00»).

6. I bilag 5 står det at timelister månedlig avrundes til nærmeste halve time, og at «Krav som ikke er inkludert i fakturaen, kan ikke fremmes mer enn tre måneder etter faktureringstidspunktet». Kan Oppdrager bekrefte hvordan dette praktiseres for (a) endelig dokumentasjonsinnsending for sikkerhetsarbeid/erfaringsrapporter, (b) godkjenning av tjenestereise, og (c) evt. korrigeringer/avvik i timelister etter arbeidslederbekreftelse?

   Hvorfor det er verdt å spørre: Leverandøren trenger å vite hvilke krav som omfattes av «tre-måneders»-regelen og hvordan prosess for etterfølgende dokumentasjon og korrigering fungerer, for å unngå tvist/ikke-dekning.

   Kilde: Bilag 5 «Timeregistrering», «Timelister…», samt «Krav som ikke er inkludert i fakturaen…».

7. Kontraktens sikkerhetsforutsetning sier at konsulenten må være sikkerhetsklarert for HEMMELIG før bistanden kan påbegynnes, og at autorisasjonssamtale avholdes. Kan Oppdrager beskrive forventet varighet/prosess for klarering frem til oppstart, og om kontrakten inneholder noen praktiske mekanismer dersom klarering tar lengre tid enn antatt (f.eks. midlertidig oppstart uten tilgang, eller konsekvenser for timeestimat/frist)?

   Hvorfor det er verdt å spørre: Oppstart kan glippe pga. klarering. Leverandøren må forstå risiko og eventuelle realistiske oppstartscenarier for å kalkulere bemanning og fremdrift.

   Kilde: Bilag 1 «Organisering, arbeidssted og sikkerhetsklarering» (HEMMELIG før bistanden kan påbegynnes; autorisasjonssamtale) samt bilag 3 «varighet/omfang og opphør».

8. Oppdrager oppgir at «Forpliktelseserklæring» kan brukes ved støtte til kvalifikasjonskrav, og at ved støtte til økonomisk/finansiell kapasitet kreves solidarisk ansvar. Kan Oppdrager bekrefte om dette også gjelder dersom leverandøren støtter seg på andre virksomheter for tekniske/faglige kvalifikasjoner (A* / kompetansekrav), og hvordan dette påvirker forpliktelse knyttet til nøkkelpersonell/kompetanseoverføring?

   Hvorfor det er verdt å spørre: Dette påvirker juridisk og økonomisk risiko, samt strukturering av tilbud (hovedleverandør/støttevirksomhet/evt. underleverandør).

   Kilde: Del 1, pkt. 4.3.2 «Oppfyllelse av kvalifikasjonskrav ved bruk av andre virksomheter» og bilag 6 «Forpliktelseserklæring».

9. I bilag 1 fremgår det at «Leverandørens godkjente underleverandører» skal listes i bilag 4. Samtidig er det kompetansekrav knyttet til «konsulenten». Kan Oppdrager avklare: (1) om underleverandører kan brukes for deler av leveransen, eller kun for administrative støttefunksjoner, (2) om nøkkelpersonell alltid må være ansatt/engasjert hos hovedleverandøren, og (3) hvordan kravet til kompetansedokumentasjon og CV-referanser skal håndteres dersom underleverandør leverer deler av kompetansen?

   Hvorfor det er verdt å spørre: Konkurransen har tydelige kompetansekrav til én ressurs, men dokumentutdraget sier kun overordnet at underleverandører skal være godkjent. Avklaring er nødvendig for å unngå ikke-tildeling eller avvisning pga. feil kontrakts-/bemanningsstruktur.

   Kilde: Bilag 1 «Krav til kompetanse» og «Arbeidsresultat/dokumentasjon» samt bilag 4 «Underleverandører».