Sikkerhetskulturprogram

Statsforvalterens fellestjenester skal anskaffe skybasert sikkerhetskulturprogram som verktøy for phishingtest(er) og bevisstgjøring/opplæring. Formålet er å gjøre ansatte (internt og hos statsforvalterembetene, ca. 2900) i stand til å identifisere falske e-poster. Leveransen omfatter bl.a. gjennomføring/oppdatering av phishing-simuleringer og læringsaktiviteter, rapportering/eksport, integrasjoner (bl.a. Microsoft), administrasjon, implementering, opplæring og tjenestenivå/SLA.

• Leverandøren skal være registrert i foretaksregister, faglig register eller handelsregister i den staten leverandøren er etablert.

  Dokumentasjon: Norske selskaper: firmaattest. Utenlandske selskaper: godtgjørelse på registrering i tilsvarende register i etableringsstaten.

  Kilde: Konkurransegrunnlag pkt. 5.1
• Leverandøren skal ha økonomisk og finansiell kapasitet til å utføre kontrakten.

  Dokumentasjon: Kredittvurdering basert på siste kjente regnskapstall. Rating A/B/C hos Creditsafe er tilstrekkelig. Alternativt annet egnet dokument dersom leverandøren har saklig grunn til å ikke fremlegge krevd dokumentasjon.

  Kilde: Konkurransegrunnlag pkt. 5.2
• Dersom leverandøren støtter seg på andre virksomheters kapasitet for økonomisk/finansiell kapasitet (og ev. tekniske/faglige kvalifikasjoner), skal leverandøren dokumentere rådighet over nødvendige ressurser.

  Dokumentasjon: Forpliktelseserklæring fra de støttende virksomhetene (vedlegg B-malen). Separate ESPD-skjemaer for virksomhetene.

  Kilde: Konkurransegrunnlag pkt. 5.3

• Utfylt ESPD-skjema skal leveres sammen med tilbudet (og separate ESPD ved støtte fra andre).Kilde: Konkurransegrunnlag pkt. 4.1 og pkt. 8.3 (dokument 0)
• Tilbudsbrev skal fylles ut og signeres av person med fullmakt, og inngis sammen med tilbudet (vedlegg A-malen).Kilde: Konkurransegrunnlag pkt. 8.3 (dokument 1) og vedlegg A
• Forpliktelseserklæring skal leveres dersom leverandøren støtter seg på andre virksomheter (vedlegg B-malen).Kilde: Konkurransegrunnlag pkt. 8.3 (dokument 2) og vedlegg B
• Liste over forbehold og avvik skal leveres (vedlegg C-malen).Kilde: Konkurransegrunnlag pkt. 8.3 (dokument 3) og vedlegg C
• Sladdet versjon av tilbudet, samt egenerklæring og begrunnelse for sladding i vedlegg D, dersom taushetsbelagte opplysninger finnes i tilbudet.Kilde: Konkurransegrunnlag pkt. 8.3 (dokument 4) og vedlegg D
• Besvarelse av samtlige krav i vedlegg E (bortsett fra pris) i henhold til instruksjoner i vedlegget.Kilde: Konkurransegrunnlag pkt. 8.3 (dokument 5)
• Utfylt prisskjema (vedlegg F) der alle felt skal fylles ut.Kilde: Konkurransegrunnlag pkt. 8.3 (dokument 6) og vedlegg F
• Tilbud skal leveres via KGV innen tilbudsfrist; ikke e-post eller papir.Kilde: Konkurransegrunnlag pkt. 8.1

Innleveringsvilkår fra kunngjøringen

Frist for forespørsel/tilbud

05.10.2026

Språk

norsk, English

Elektronisk katalog

Ikke tillatt

• Kontraktsregime: Statens standardavtale SSA-L (løpende tjenestekjøp over internett) med bilag; krav til leveransen i bilag 1/2 og tjenestenivå i bilag 4.Kilde: Konkurransegrunnlag pkt. 1.3 og vedlegg G (SSA-L) samt vedlegg E (Bilag 1) / vedlegg (bilagsoversikt i SSA-L-dokumentet)
• Varighet: 2 år (1. desember 2026 til 30. november 2028) med opsjon for oppdragsgiver på forlengelse 1 år to ganger (1+1).Kilde: Konkurransegrunnlag pkt. 1.4
• Ute kostnadsramme: budsjettert ytre kostnadsramme 2,2 millioner NOK eks. mva. for hele avtaleperioden (4 år). Tilbud over aksepteres ikke.Kilde: Konkurransegrunnlag pkt. 1.5
• Implementering/leveransefrist: løsning skal være implementert, testet og klar til bruk senest tre måneder etter kontraktsinngåelse (krav 10.1 i bilag E/Bilag 1).Kilde: Vedlegg E/Bilag 1 krav 10.1 og Bilag til SSA-L – bilag 3 (plan for etableringsfasen)
• Opplæring: Leverandøren skal bistå med nødvendig etablering/konfigurering og gjennomføre opplæring av 1–2 administratorer/superbrukere (krav 10.2 i bilag E).Kilde: Vedlegg E/Bilag 1 krav 10.2
• Krav til personvern/databehandling: Databehandler skal inngå databehandleravtale etter oppdragsgivers mal; personopplysninger inkl. sikkerhetskopier skal behandles og lagres innenfor EU/EØS, Sveits og Storbritannia; ved avtalens opphør skal data slettes etter instruks (krav 7.1–7.4 i bilag E).Kilde: Vedlegg E/Bilag 1 krav 7.1-7.4 og vedlegg H (databehandleravtale)
• Krav til informasjonssikkerhet: rollebasert tilgang; beskyttelse under overføring og lagring i tråd med NSM/tilsvarende; logging av relevante sikkerhets- og administratorhendelser; prosesser for sårbarhet/hendelser; varsle oppdragsgiver om sikkerhetshendelser (krav 8.1–8.5 i bilag E).Kilde: Vedlegg E/Bilag 1 krav 8.1-8.5
• Klima/miljø: datasentre i leveransen skal etterleve gjeldende «Best Practice Guidelines for the EU Code of Conduct on Data Centre Energy Efficiency» (krav 11.1 i bilag E).Kilde: Vedlegg E/Bilag 1 krav 11.1
• SLA: Leverandøren skal legge ved tilbudt tjenestenivåavtale (SLA) (krav 9.3 i bilag E).Kilde: Vedlegg E/Bilag 1 krav 9.3

• Dokumentteksten viser ikke konkrete detaljer i bilag 4 (tjenestenivå/SLA-satser) utover at SLA skal følge avtalen; vektlegging/konkrete kompensasjonsmekanismer for brudd på tjenestenivå fremgår ikke av utdraget.
• Vedlegg E inneholder mange detaljer (A-/B-krav), men dokumentteksten viser ikke hele listen av alle A-/B-krav (kun utvalgte krav frem til 11.1); ukjent om flere krav kan påvirke avvisning eller evaluering.
• KGV-detaljer (teknisk format/filkrav) og eventuelle frister/innloggingskrav utover «lever via KGV» er ikke gjengitt.
• Prisskjema viser poster (årlig kostnad, etablering, opplæring), men maksimal antall brukere/kapasitetsforutsetninger eller beregningsformel for totalpris i prisskjema er ikke fullt detaljert i utdraget.
• Tildeling beskriver relativ vurdering av B-krav, men poengvekting/antall B-krav som inngår i gjennomsnitt og eksakte evalueringsregler (0–10) per krav er ikke fullt synlig utover overordnet beskrivelse.

Punkter der konkurransedokumentene åpner for tolkning, og der en presisering fra oppdragsgiver kan ha betydning for prising og risiko. Spørsmål kan stilles innen fristene som er angitt i konkurransegrunnlaget.

1. I vedlegg E kap. 2 (A-krav 2.1–2.5): Hvilket forventet aktivitetsnivå legger oppdragsgiver til grunn per år (f.eks. antall phishing-simuleringer, omfang per runde/antall utsendelser, og hvor mange/typer læringsaktiviteter)?

   Hvorfor det er verdt å spørre: Gir grunnlag for korrekt prising og bemannings-/innholdsplan.

   Kilde: Vedlegg E, krav 2.1–2.5

2. I vedlegg E kap. 6 (A-krav 6.1): Når dere sier at løsningen skal håndtere STAF og de 10 statsforvaltervirksomhetene som egne virksomheter med egen organisasjonsstruktur: Kan dere angi forventet antall organisatoriske enheter/nivåer per virksomhet (grove intervaller er tilstrekkelig), og om dere ønsker at hierarkiet skal speiles 1:1 eller om dere aksepterer en forenklet struktur?

   Hvorfor det er verdt å spørre: Påvirker design av kontroller/rapportering og omfang av konfigurering ved etablering.

   Kilde: Vedlegg E, krav 6.1

3. I vedlegg E kap. 4 (B-krav 4.1): Hvilke løpende administrative oppgaver forventer dere at oppdragsgiver selv skal gjøre, og hvilke konkrete oppgaver ønsker dere at leverandøren skal automatisere/ta ansvar for (eksempler: bruker-/gruppevedlikehold, kampanjestyring, innholdsoppdateringer, rapportuttrekk)?

   Hvorfor det er verdt å spørre: Avklarer forventninger som ellers kan medføre feil kostnadsoppsett eller avvik ved evaluering/kontraktsoppfyllelse.

   Kilde: Vedlegg E, krav 4.1

4. I vedlegg E kap. 3 (A-krav 3.1–3.3 og B-krav 3.4): Når en bruker rapporterer mistenkelig e-post og/eller e-post fra forhåndsdefinerte domener: Hvilke automatiserte tilbakemeldings-/klassifiseringsresultater forventer dere (f.eks. grader/utfall), og hvordan skal klassifiseringslogikk kunne tilpasses (hvilke parametere tillates)?

   Hvorfor det er verdt å spørre: Bestemmer funksjonsnivå og kan påvirke både løsningsvalg og arbeidstid/vedlikehold.

   Kilde: Vedlegg E, krav 3.1–3.4

5. I vedlegg E kap. 5 (A-krav 5.1–5.2): Hvilke konkrete rapporter/uttrekk er viktige for dere (f.eks. per kampanje, per avdeling, suksessrater, læringsfullføring, utvikling over tid), og hvilke filtre forventer dere at skal være tilgjengelige (konkrete dimensjoner og tidsintervaller)?

   Hvorfor det er verdt å spørre: Påvirker design av rapporteringsfunksjonalitet og leveranseform for eksport.

   Kilde: Vedlegg E, krav 5.1–5.2

6. I vedlegg E kap. 7 (A-krav 7.2–7.3): Kan dere bekrefte at det er tilstrekkelig at leverandøren beskriver lokasjon/overføringsgrunnlag som i tilbudet, og at detaljert underleverandør- og lokasjonsoversikt kan gis i databehandleravtale/vedlegg senere i prosessen før tildeling? Alternativt: ønskes det at leverandøren allerede i tilbudet spesifiserer navn på underdatabehandlere og konkrete lokasjoner fullt ut?

   Hvorfor det er verdt å spørre: Avklarer dokumentasjonsnivå i tilbudet vs. etterspurt dokumentasjon før kontraktsinngåelse.

   Kilde: Vedlegg E, krav 7.2–7.3

7. I konkurransegrunnlaget pkt. 7.2 / vedlegg E (B-kravene): Kan dere bekrefte evalueringslogikken for «Kvalitet» nærmere: hvordan gis poeng (0–10) per B-krav, og hvordan beregnes gjennomsnittet (gjelder alle 7 B-krav likt vektet, og inngår alle i gjennomsnittet)?

   Hvorfor det er verdt å spørre: Sikrer at tilbudsutforming matcher evalueringsmetoden og reduserer risiko for feil prioriteringer i besvarelsen.

   Kilde: Konkurransegrunnlag pkt. 7.2 samt Vedlegg E, B-krav (samlet 7 stk)

8. I vedlegg E kap. 9 (A-krav 9.2): Hva menes konkret med «uten å gjøre unntak i sikkerhetsfilter»—hvilke sikkerhetsfiltre/proxy/avbrudds- eller URL-/DNS-/TLS-inspeksjonsløsninger er det dere legger til grunn (f.eks. om det er typiske bransjeløsninger som Zscaler eller lignende, eller interne regler)?

   Hvorfor det er verdt å spørre: For å kunne verifisere teknisk kompatibilitet og prissette eventuell nødvendig tilpasning/implementering.

   Kilde: Vedlegg E, krav 9.2

9. I vedlegg F (prisskjema): Prisskjemaet inneholder årlig kostnad, etablering og opplæring, men maksimal avtaleperiode i konkurransen er 4 år (2 år + opsjoner 1+1 år), og det er ikke synlig angitt om opplæring/etablering skal gjentas i opsjonsårene. Kan dere bekrefte at etablering og opplæring er engangskostnader for hele kontraktsperioden og bare skal prises én gang, og at årlig pris skal brukes for alle 4 år?

   Hvorfor det er verdt å spørre: Avgjør korrekt totalpris og redusere risiko for feil kalkulasjon som kan gi lavere score.

   Kilde: Konkurransegrunnlag pkt. 1.4 og pkt. 7.1, samt Vedlegg F