Jeszcze kilka lat temu cyberbezpieczeństwo w zamówieniach publicznych kojarzyło się przede wszystkim z wymaganiami technicznymi, tj.: odpowiednim poziomem zabezpieczeń, dostępnością systemu, wykonywaniem kopii zapasowych czy ochroną przed nieautoryzowanym dostępem. Dziś takie spojrzenie wydaje się już niewystarczające. Cyberbezpieczeństwo może bowiem zdecydować już nie tylko o tym, jak zamówienie ma zostać wykonane, ale czy złożona przez wykonawcę oferta nie podlega odrzuceniu.
Dostawca wysokiego ryzyka jako podstawa odrzucenia oferty
Od kwietnia 2026 r., w związku ze zmianami ustawy z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, Prawo zamówień publicznych przewiduje nowe podstawy odrzucenia oferty dotyczące produktów, usług i procesów ICT.
Szczególne znaczenie ma art. 226 ust. 1 pkt 19 p.z.p., zgodnie z którym:
Zamawiający odrzuca ofertę, jeżeli […] obejmuje ona produkt ICT, którego typ został określony w decyzji w sprawie uznania dostawcy za dostawcę wysokiego ryzyka, o której mowa w art. 67b ust. 15 ustawy z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, lub usługę ICT, lub proces ICT, określone w tej decyzji.
Mechanizm zdaje się być się prosty – niebezpieczna technologia ma zostać wyeliminowana z zamówień publicznych. W praktyce pojawia się jednak pytanie co właściwie oznacza, że oferta obejmuje rozwiązanie pochodzące od dostawcy wysokiego ryzyka.
Dostawca wysokiego ryzyka a wykluczenie wykonawcy
Najważniejsze rozróżnienie dotyczy samej konstrukcji nowych przepisów.
Uznanie przedsiębiorstwa za dostawcę wysokiego ryzyka nie oznacza wprowadzenia kolejnej podstawy wykluczenia wykonawcy z postępowania.
Ustawodawca koncentruje się przede wszystkim na tym, co znajduje się w jego ofercie.
Powyższe ma zasadnicze znaczenie, albowiem wykonawca nie musi być dostawcą wysokiego ryzyka, a mimo to zaoferować rozwiązanie zawierające produkt ICT podmiotu objętego decyzją. Wykonawca może być np. dystrybutorem systemu wykorzystującym urządzenia i oprogramowanie innych producentów. Z drugiej strony, decyzja dotycząca danego producenta nie powinna prowadzić do odrzucania każdej oferty, w której w jakikolwiek sposób pojawia się jego technologia. Kluczowe powinno być bowiem ustalenie rzeczywistego zakresu decyzji oraz tego, czy obejmuje ona konkretny typ produktu, rodzaj usługi albo proces ICT wykorzystywany w danym zamówieniu.
Produkty, usługi i procesy ICT w łańcuchu dostaw
Pojęcia produkt ICT, usługa ICT czy proces ICT mogą sugerować, że nowe przepisy dotyczą przede wszystkim komputerów, serwerów i klasycznych systemów informatycznych.
W rzeczywistości zakres regulacji jest znacznie szerszy. Współczesna infrastruktura techniczna coraz częściej składa się z urządzeń połączonych z siecią, modułów komunikacyjnych, systemów lokalizacji, czujników oraz oprogramowania działającego w chmurze. I właśnie dlatego jednym z największych problemów nowej regulacji będzie ustalenie, jak daleko w technologiczny łańcuch dostaw powinien zaglądać zamawiający.
Czy jeden komponent ICT może wyeliminować całą ofertę?
Norma art. 226 ust. 1 pkt 19) p.z.p. mówi o ofercie, która określony produkt, usługę lub proces ICT obejmuje. Nie chodzi więc jedynie o sytuację, w której przedmiotem zamówienia jest bezpośredni zakup urządzenia określonego producenta. Problem może pojawić się również wtedy, gdy objęte decyzją rozwiązanie jest tylko jednym z elementów większego systemu. Nie sposób jednak przyjąć, że każdy element zaplecza technologicznego wykonawcy powinien powodować odrzucenie oferty. Znaczenia nabiera tu funkcjonalny związek danego rozwiązania z przedmiotem zamówienia.
Zamawiający ma prawo wiedzieć, co kupuje
Zmiana przepisów tworzy obowiązki nie tylko po stronie wykonawców.
Zamawiający musi mieć możliwość stwierdzenia, czy oferta podlega odrzuceniu. A to może być utrudnione, jeżeli z treści dokumentów składanych w postępowaniu w ogóle nie wynika, jakie komponenty technologiczne znajdą się w oferowanym rozwiązaniu. W przypadku zamówień obejmujących istotne elementy ICT uzasadnione może być zatem wymaganie wskazania m.in. producenta, modelu lub wersji określonych urządzeń oraz oprogramowania.
Zakres żądanych informacji powinien jednak nadal respektować podstawowe zasady p.z.p. – przede wszystkim proporcjonalność, przejrzystość i uczciwą konkurencję.
Decyzja o dostawcy wysokiego ryzyka po złożeniu oferty – co dalej?
Jednym z ciekawszych problemów może okazać się sytuacja, w której decyzja dotycząca dostawcy wysokiego ryzyka pojawi się już po złożeniu ofert. Literalne brzmienie art. 226 p.z.p. oraz charakter decyzji dotyczącej dostawcy wysokiego ryzyka przemawiają za poglądem, że przed dokonaniem wyboru zamawiający nie może ignorować aktualnego stanu prawnego. Jeżeli oferta w chwili jej badania obejmuje produkt, którego dotyczy wiążąca i wykonalna decyzja, trudno byłoby zaakceptować udzielenie zamówienia tylko dlatego, że kilka dni wcześniej sytuacja była odmienna.
Dla wykonawców rodzi to szczególny rodzaj ryzyka.
Co, jeśli decyzja zostanie wydana po zawarciu umowy?
Jeszcze bardziej skomplikowana wydaje się sytuacja, w której decyzja zostaje wydana już w trakcie wykonywania wieloletniej umowy.
Problem może być szczególnie istotny w umowach obejmujących sukcesywne dostawy albo wieloletnie utrzymanie infrastruktury. Powstają wówczas dwie odrębne kwestie. Pierwsza dotyczy dalszego używania już zainstalowanych urządzeń. Druga zaś możliwości dokonywania kolejnych dostaw części zamiennych bądź instalowania następnych egzemplarzy określonego produktu.
Problem ten przemawia za tym, aby już na etapie projektowania postanowień umownych przewidzieć mechanizm reagowania na zmianę statusu wykorzystywanej technologii.
Minister decyduje o dostawcy, a KIO o ofercie
Nowe regulacje tworzą również interesujący podział kompetencji.
Decyzja o uznaniu podmiotu za dostawcę wysokiego ryzyka jest decyzją administracyjną. Jej prawidłowość może podlegać właściwej kontroli sądowoadministracyjnej.
Czym innym jest czynność zamawiającego polegająca na odrzuceniu oferty.
W postępowaniu odwoławczym spór może dotyczyć nie tego, czy Minister zasadnie uznał określonego producenta za dostawcę wysokiego ryzyka, ale tego czy zamawiający prawidłowo zastosował skutki decyzji do konkretnej oferty. Wykonawca może więc podnieść, że produkt znajdujący się w jego rozwiązaniu jest innym typem urządzenia niż wymieniony w decyzji albo że zakwestionowana technologia w ogóle nie stanowi elementu oferowanego świadczenia.
Na dzień sporządzenia artykułu Ministerstwo nie wydało jeszcze decyzji uznającej konkretnego przedsiębiorcę za dostawcę wysokiego ryzyka.
Cyberbezpieczeństwo zmienia reguły konkurencji
Skutek nowych regulacji wykracza poza art. 226 ustawy. Prawo zamówień publicznych przez lata koncentrowało się przede wszystkim na wykonawcy – jego zdolności do realizacji umowy oraz jakości i cenie oferowanego świadczenia. Obecnie coraz większego znaczenia nabiera także ustalenie z jakiej technologii wykonawca zamierza korzystać i jakie ryzyko dla bezpieczeństwa wiąże się z jej pochodzeniem. Dla zamawiających konsekwencją jest konieczność bardziej świadomego opisywania wymagań, identyfikowania elementów ICT i badania ofert.
Dla wykonawców – potrzeba głębszego zbadania łańcucha dostaw oraz zabezpieczenia relacji z producentami i podwykonawcami.
Jednocześnie nowe regulacje powinny być stosowane ostrożnie. Cyberbezpieczeństwo nie może stać się uzasadnieniem ograniczania konkurencji czy preferowania określonych producentów. Podstawą odrzucenia oferty powinno być rzeczywiste spełnienie przesłanki ustawowej, odnoszonej do konkretnego produktu, usługi lub procesu ICT.
Rekomendacje dla wykonawców i zamawiających
Nowe regulacje dotyczące dostawców wysokiego ryzyka powodują, że zarządzanie ryzykiem cyberbezpieczeństwa powinno rozpocząć się jeszcze przed złożeniem oferty albo wszczęciem postępowania o udzielenie zamówienia publicznego.
Po stronie wykonawców szczególnego znaczenia nabiera znajomość własnego łańcucha dostaw, dlatego warto ustalić nie tylko, jakie produkty i usługi ICT są bezpośrednio oferowane zamawiającemu, ale również jakie komponenty technologiczne znajdują się w bardziej złożonych urządzeniach i systemach oraz z jakich rozwiązań korzystają podwykonawcy. W wieloletnich kontraktach istotne jest także odpowiednie ukształtowanie relacji z producentami i dostawcami, tak aby wykonawca mógł odpowiednio szybko uzyskać informacje o zmianach wpływających na możliwość dalszego wykorzystywania danego rozwiązania.
Zamawiający powinni natomiast zweryfikować, czy dokumentacja postępowania pozwala na rzeczywistą identyfikację kluczowych produktów, usług i procesów ICT znajdujących się w ofercie. Zakres wymaganych informacji powinien być przy tym adekwatny do przedmiotu zamówienia i respektować zasadę proporcjonalności. Cyberbezpieczeństwo nie może stanowić uzasadnienia dla pozyskiwania informacji, które pozostają bez rzeczywistego związku z przedmiotem zamówienia.
W przypadku kontraktów obejmujących wieloletnie dostawy, serwis czy utrzymanie infrastruktury warto również rozważyć odpowiednie postanowienia umowne regulujące sytuację, w której określona technologia zostanie objęta decyzją dotyczącą dostawcy wysokiego ryzyka już w toku realizacji zamówienia.
Podstawy prawne
Ustawa z dnia 11 września 2019 r. – Prawo zamówień publicznych (Dz.U. z 2026 r. poz. 793);
Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz.U. z 2026 r. poz. 20);
Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. z 2026 r. poz. 252);
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2019/881 z 17 kwietnia 2019 r. w sprawie ENISA (Agencji Unii Europejskiej ds. Cyberbezpieczeństwa) oraz certyfikacji cyberbezpieczeństwa w zakresie technologii informacyjno-komunikacyjnych oraz uchylenia rozporządzenia (UE) nr 526/2013 (akt o cyberbezpieczeństwie) (Dz.U.UE.L.2019.151.15).
