26/02620 Publiseringstjeneste for Norsk helsenett SF (kvalifisering)

NHN (Norsk helsenett SF) skal anskaffe en ikke-eksklusiv publiseringsløsning (CMS) som SaaS for primært nettstedet nhn.no. Oppdraget omfatter etablering, migrering fra dagens løsning, drift/forvaltning, feilretting, oppgraderinger, kundeservice/support og administrative forhold (inkl. SSO mot Entra ID). Anskaffelsen gjennomføres som begrenset tilbudskonkurranse. Maksimal kontraktsverdi er 2,49 mill. kr eks. mva, med planlagt kontraktsperiode på 3 år og automatisk fornyelse 1 år av gangen (oppsigelig). Tildeling skjer på beste forhold mellom pris og kvalitet, med pris 20 % og kvalitet 80 %.

• K1 - Registrert foretak: Leverandøren skal være registrert i foretaksregister/faglig register/handelsregister i staten der den er etablert.

  Dokumentasjon: Norske selskaper: firmaattest. Utenlandske selskaper: godtgjørelse på registrering i tilsvarende register.

  Kilde: Kap. 5.1.1 (K1)
• K2 – Skatter og avgifter: Ordnede forhold med hensyn til skatte- og avgiftsinnbetaling i etableringslandet.

  Dokumentasjon: Attest for skatt og merverdiavgift hentet i Altinn (ikke eldre enn 6 mnd. fra tilbudsfrist). Norske ikke-MVA-pliktige: bekreftelse fra skattemyndigheter. Utenlandske: tilsvarende attester.

  Kilde: Kap. 5.1.1 (K2)
• K3 - Økonomisk og finansiell kapasitet: Tilstrekkelig god økonomisk kapasitet, inkl. tilfredsstillende omsetning, inntjening, likviditetsgrad og egenkapitalandel (betalingserfaring).

  Dokumentasjon: Kredittvurdering fra anerkjent kredittvurderingsselskap basert på siste regnskapstall, der nøkkeltall og vurdering av betalingserfaring fremgår.

  Kilde: Kap. 5.1.2 (K3)
• K4 - Faglig kapasitet: God kompetanse og kapasitet for driftsleveranse, tilpasninger og forvaltning av CMS levert som SaaS.

  Dokumentasjon: Beskrivelse av organisering og ledelsens relevante kvalifikasjoner; samlet kompetanse/kapasitet for etablering/leveranse/drift/vedlikehold/videreutvikling; oversikt over ressurser (utdanning/sertifisering/erfaring); spesifisere hvilke ressurser som tilhører tilbyderen vs andre foretak.

  Kilde: Kap. 5.2.1 (K4)
• K5 – Erfaring: God og dokumentert relevant erfaring fra leveranse, drift og forvaltning av publiseringsløsninger levert som SaaS.

  Dokumentasjon: Beskrivelse av 3 viktigste leveranser (siste 3 år), helst fra offentlig forvaltning, med: kundens navn/kontakt, utfyllende beskrivelse (omfang/verdi/varighet), at løsningen er skybasert og karakteristika (sidevisninger/besøk), hvorfor relevant, om nøkkelpersonell stilles til disposisjon og evt. samarbeid, samt hvilken publiseringsløsning og samarbeidspartner som var involvert. Bruk mal: Vedlegg K5.

  Kilde: Kap. 5.2.1 (K5)
• K6 - Personvern: Leverandør og underleverandører kan ikke behandle personopplysninger utenfor EU/EØS eller godkjente 3dje land.

  Dokumentasjon: Dokumentasjon som avklarer/underbygger at behandling ikke skjer utenfor EU/EØS eller godkjente tredjeland, inkludert evt. tilganger for support/drift/forvaltning. Benytt mal: Vedlegg 8 (spørsmål om overføring av personopplysninger).

  Kilde: Kap. 5.2.1 (K6)
• K7 - Informasjonssikkerhet: Tilfredsstillende systemer for informasjonssikkerhet.

  Dokumentasjon: Kopi av sertifikat ISO27001/tilsvarende utstedt av akkreditert organ, eller alternativt beskrivelse av IS-systemer og hvordan de implementeres/forvaltes. Kravet gjelder også for underleverandører/foretak.

  Kilde: Kap. 5.2.1 (K7)

• Egenerklæring (ESPD) i Mercell: Leverandøren skal besvare ESPD-skjema og erklære at kvalifikasjonskravene (og ingen avvisningsgrunner) oppfylles.Kilde: Kap. 5.1 (ESPD i Mercell)
• Søknad om deltakelse: Signert søknadsbrev med besvarelse av K1–K7 (med eventuelle forbehold) + utfylt ESPD + signert forpliktelseserklæring fra underleverandør (der relevant) + vedlegg iht. dokumentasjonskrav i kap. 5 (henvist i søknadsbrev).Kilde: Kap. 6.1 (Søknad om deltakelse)
• Tilbud (etter invitasjon): Signert tilbudsbrev med vedlegg + utfylt SSA-L Bilag 2 (leverandørens beskrivelse av tjenesten) + utfylte SSA-L Bilag 3–9.Kilde: Kap. 6.1 (Komplett tilbud)
• Formalia: Søknad og tilbud skal leveres på norsk, elektronisk i Mercell innen frister i kap. 2. PDF/Word-innlevering med navngivning <kortnavn>_<dokumentnavn>.pdf/docx.Kilde: Kap. 6.1 (språk/format/navn/innlevering)
• Forbehold: Eventuelle forbehold må være presise/entydige og fremgå klart i søknadsbrevet med henvisning til hvilke krav i konkurransegrunnlaget det tas forbehold om.Kilde: Kap. 6.2 (Forbehold)

Innleveringsvilkår fra kunngjøringen

Frist for forespørsel/tilbud

04.09.2026

Språk

norsk

Elektronisk katalog

Ikke tillatt

• Krav til lønns- og arbeidsvilkår (forbud mot sosial dumping): Leverandør/evt. underleverandør skal kunne dokumentere etterlevelse på forespørsel; oppdragsgiver kan sanksjonere ved manglende etterlevelse.Kilde: Kap. 3.2 (Forbud mot sosial dumping)
• Miljø-/klimahensyn: Tjenesten (SaaS) vurderes å ha uvesentlig klimaavtrykk/miljøbelastning og er derfor vurdert som unntatt jf. FOA §7-9(3).Kilde: Kap. 3.3 (Miljø- og klimahensyn)
• Kontraktsperiode og verdi-/oppsigelsesmekanisme: Ikke-eksklusiv tjenesteavtale. Varighet 3 år, automatisk fornyelse 1 år. Maksimal kontraktsverdi 2,49 mill. kr eks. mva; terminering med øyeblikkelig virkning hvis verdigrensen nås (inkl. opsjoner/bestillinger).Kilde: Kap. 3 (Kontrakt og kontraktsperiode)
• Oppetidsgaranti: Garantisert tilgjengelighet minimum 99,5 % alle virkedager kl. 07:00–20:00, målt per kalendermåned (skal bekreftes i SSA-L Bilag 4).Kilde: SSA-L Bilag 1 kap. 6.1.4 (Oppetidsgaranti)
• Support i drift: Supporttjeneste for redaktører tilgjengelig alle virkedager i normal arbeidstid med god responstid; SLA i SSA-L Bilag 4.Kilde: SSA-L Bilag 1 kap. 6.1.5 (Tilgang til support)
• Sikkerhetshendelser: Leverandøren skal varsle Kunden uten ugrunnet opphold ved sikkerhetshendelser (alvorlige sårbarheter, dataangrep, datalekkasjer, personvernbrudd).Kilde: SSA-L Bilag 1 kap. 5.3.10 (Sikkerhetshendelser)
• Personvern - overføringsgrunnlag: Ved behandling utenfor EU/EØS skal gyldig overføringsgrunnlag brukes; krav inkluderer fjern tilgang for drift/vedlikehold/support. DBA skal opprettes (SSA-L kap. 6.2).Kilde: SSA-L Bilag 1 kap. 5.4.1 (Personvern - overføringsgrunnlag) og kap. 5.4.3 (DBA)
• SaaS-leveransemodell: Tjenesten skal etableres og leveres som SaaS (primært for nhn.no).Kilde: SSA-L Bilag 1 kap. 6.1.1 (Leveransemodell)
• Migrering: nhn.no skal migreres til ny avtale (samme eller ny plattform) iht. instruksjoner (Bilag 3).Kilde: SSA-L Bilag 1 kap. 6.1.2 (Migrering)
• Kundeservice/kundestøtte: Leverandøren skal i løpende drift/forvaltning støtte NHN med kundeservice; omfang knyttes til SLA (hvilke servicetjenester som omfattes/ikke).Kilde: SSA-L Bilag 1 kap. 6.1.3 (Kundeservice og oppdateringer)

• Dokumentteksten angir ikke konkrete datoer for avtale-/leveringsdag, kun at evalueringen legger til grunn 4 år normal drift (etter etablering/migrering) fra Leveringsdag (Kap. 8.1).
• Behov/krav i SSA-L Bilag 1 inneholder mange detaljer, men utbetalings-/SLA-krav for flere områder henvises til SSA-L Bilag 4/5/6/7 som ikke er gjengitt i teksten.

Punkter der konkurransedokumentene åpner for tolkning, og der en presisering fra oppdragsgiver kan ha betydning for prising og risiko. Spørsmål kan stilles innen fristene som er angitt i konkurransegrunnlaget.

1. I kap. 8.1 fremgår det at evalueringen legger til grunn «4 år normal drift (etter etablering/migrering) fra Leveringsdag». Kan dere presisere hva som anses som «normal drift» i denne konkurransen, og hvilke konkrete pris-/ytelseskomponenter som inngår i denne beregningen (særlig knyttet til SLA, support, oppgraderinger og eventuelle KI-opsjoner)?

   Hvorfor det er verdt å spørre: Dette påvirker hvordan leverandøren skal prise og vurdere risikoen i pris- og kvalitetsdelen, og sikrer at «evalueringsgrunnlaget» blir riktig forstått.

   Kilde: Konkurransebestemmelser kap. 8.1

2. I Bilag 1 kap. 6.1.4 stilles det krav til tilgjengelighet «minimum 99,5% alle virkedager kl. 07:00–20:00, målt per kalendermåned». Kan dere bekrefte hvordan tilgjengelighet måles (f.eks. hvilke komponenter som inngår/ikke inngår, om vedlikeholdsvinduer regnes som utilgjengelighet, og hvordan målemetode/rapportering beskrives i SSA-L Bilag 4)?

   Hvorfor det er verdt å spørre: Uklart måleoppsett kan gi feilprising og/eller tvist om SLA-refusjon/reforhandling ved avvik.

   Kilde: SSA-L Bilag 1 kap. 6.1.4

3. I Bilag 1 kap. 6.1.5 stilles det krav til support for redaktører «tilgjengelig alle virkedager i normal arbeidstid med god responstid», og at responstider skal fremgå av SSA-L Bilag 4. Kan dere utdype hvilke responstidsnivåer som gjelder (for ulike alvorlighetsgrader), og om responstid/leveransekrav også omfatter feilretting innen bestemte frister?

   Hvorfor det er verdt å spørre: Support-SLA er sentralt både for kvalitetsevaluering og for kostnadsestimatet; leverandøren må vite omfanget av responstid og eventuelle tidsfrister for utbedring.

   Kilde: SSA-L Bilag 1 kap. 6.1.5

4. I Bilag 1 kap. 6.1.6 beskrives det at «flere instanser» ved behov for test/opplæring/ki kan være aktuelt og at eventuelle kostnader skal oppgis som opsjon i SSA-L Bilag 6. Kan dere presisere hva dere konkret mener med «instanser» (f.eks. antall miljøer pr. instans, separat datagrunnlag/konfigurasjon, og hvorvidt det er test/UAT/preview/produksjonsnært), samt forventet bestillingsfrekvens eller typisk omfang?

   Hvorfor det er verdt å spørre: Leverandøren kan ellers ikke prise opsjonen presist, og usikkerheten kan gi stort risikoavslag i tilbudet.

   Kilde: SSA-L Bilag 1 kap. 6.1.6

5. I Bilag 1 kap. 2.2 og i kap. 8.1 pris-/evaluering fremgår det at migreringsarbeidet prises, og at kunderstyrt opsjon for migrering inngår i evaluering. Kan dere beskrive hvordan «kunderstyrt opsjon for migrering» skal forstås i prisingen (hvilke valg Leverandøren skal tilby/prise i Bilag 6, og hvilken del av migreringen som ligger i fast pris vs. opsjon)?

   Hvorfor det er verdt å spørre: For korrekt prising og for å unngå avvik mot evalueringsmodell må leverandøren vite hvilke migreringskostnader som er obligatoriske vs. opsjonsbaserte.

   Kilde: Konkurransebestemmelser kap. 8.1 + SSA-L Bilag 1 kap. 2.2

6. I Bilag 1 kap. 3.1.11 er universell utforming angitt som absolutt krav (A) «og andre leveranser i avtaleperioden» skal sikre WCAG over tid. Kan dere presisere hva dere forventer at leverandøren gjør løpende (f.eks. periodiske UU-tester, oppdatering ved nye WCAG-standarder, backlog/retteplan), og hvordan dette kobles mot leverandørens plikt i etablering/drift/forvaltning (inkl. hvilke kostnadstyper som er inkludert vs. opsjon)?

   Hvorfor det er verdt å spørre: UU-oppfølging over tid kan være ressurskrevende; leverandøren må forstå omfang og kostnadsfordeling for å prise riktig og levere i tråd med kravet.

   Kilde: SSA-L Bilag 1 kap. 3.1.11

7. I Bilag 1 kap. 4.1.1 om «Oppsett av ny side» står det bl.a. om forhåndsvisning før publisering «mulig for eksterne aktører å se en forhåndsvisning uten pålogging via en lenke». Kan dere avklare hvilke «eksterne aktører» dette typisk gjelder i NHNs prosess (og om det skal være helt uten autentisering, eller om det kan være begrenset/engangslenke med/uten vilkår)?

   Hvorfor det er verdt å spørre: Hvilken tilgangsmodell som forventes styrer både implementasjon, sikkerhet og kostnad.

   Kilde: SSA-L Bilag 1 kap. 4.1.1

8. I Bilag 1 kap. 4.1.3 «Tilgangsstyring» beskrives krav til bl.a. logging/sporbarhet, arvede rettigheter og integrasjon med Entra ID. Kan dere presisere minimumsløpet for logging som forventes (f.eks. hendelser som må logges, detaljnivå, og om logger er søkbare/exporterbare), og om kravene dekker både redaktørhandlinger og tekniske adminhendelser?

   Hvorfor det er verdt å spørre: Loggingens omfang og tilgjengelighet kan variere mye; dette påvirker både sikkerhetsrisiko og implementeringskost.

   Kilde: SSA-L Bilag 1 kap. 4.1.3

9. I Bilag 1 kap. 5.4.1 «Personvern - overføringsgrunnlag» ber dere om dokumentasjon og referanse til vedlagt mal. Kan dere bekrefte om dere forventer at leverandøren skal dokumentere overføringsgrunnlag også for drift/vedlikehold/support med «fjern aksess» (f.eks. tilgang fra tredjeland hos underleverandør), og i så fall hvilke scenarier som alltid skal inkluderes i utfyllingen?

   Hvorfor det er verdt å spørre: Dette påvirker databehandler-/personvernfremlegget og leverandørens compliance-tiltak; leverandøren må vite hvilke behandlinger som må dekkes.

   Kilde: SSA-L Bilag 1 kap. 5.4.1

10. I konkurransebestemmelser kap. 8.1 fremgår det at Kvalitet evalueres på poengskala 0–10, og at det ikke brukes normalisering. Kan dere gi en praktisk presisering av hva som typisk gir størst utslag i kvalitetsunderdelene (særlig «demonstrasjon» og «forpliktende innfrielse av krav til informasjonssikkerhet og personvern»), og hvordan eventuelle avvik/«Delvis innfrielse» vektlegges når det samme uansett gir demo?

    Hvorfor det er verdt å spørre: Utydelighet i evaluering kan føre til feil prioritering i løsningsbeskrivelsen og demonstrasjonen, og feil risikohåndtering av «Delvis»-svar.

    Kilde: Konkurransebestemmelser kap. 8.1