KamR Stockholm mål 7558-20

KLAGANDE

Sandbergs Trygghetsprodukter AB, 556351-4248

KET

Dabud: Advokat och biträdande juris:

21-06-23 —

MOTPARTER

1.: Uppsala kommun

Ombud: Kommunjurist 2. Certego AB, 556529-5911

ÖVERKLAGAT AVGÖRANDE

Förvaltningsrätten i Uppsalas dom den 13 november 2020 i mål nr 2514-20, se bilaga A

SAKEN

Offentlig upphandling

KAMMARRÄTTENS AVGÖRANDE

Kammarrätten bifaller överklagandet och beslutar att Uppsala kommuns upphandling av passersystem och inbrottslarm med dnr KSN-2019-02965 ska rättas på så sätt att kommunen ska göra en ny anbudsutvärdering och vid den inte beakta Certego AB:s anbud.

YRKANDEN M.M.

Sandbergs Trygghetsprodukter AB (Sandbergs) yrkar att kammarrätten ska besluta att upphandlingen ska rättas på så sätt att Uppsala kommun ska göra en ny anbudsutvärdering och vid den bortse från Certego AB:s (Certego) anbud. Sandbergs för fram bl.a. följande.

Certego har varit skyldigt att i anbudet visa att det uppfyller kravet i AFB.526 om erfarenhet och referenser genom att lämna in en förteckning över sina tre viktigaste liknande uppdrag under de senaste tre åren.

Certegos anbud har inte innehållit en förteckning. Kommunen har begärt att Certego skulle lämna in handlingar gällande de tre viktigaste liknande uppdragen under de tre senaste åren och även skickat en påminnelse om detta. Certego har inte kommit in med de efterfrågade uppgifterna eller på annat sätt redogjort för vilka de tre viktigaste liknande uppdragen under de tre senaste åren har varit. Vidare har kommunen inte dokumenterat att den har frånfallit sin begäran om komplettering.

Huvudregeln är att den upphandlande myndigheten inte får beakta andra uppgifter än de som framgår av anbudsgivarens anbud. Det ankommer på anbudsgivaren att visa att ett krav är uppfyllt om frågan uppkommer. Om myndigheten kräver bevisning ska den kontrolleras. En leverantör ska inte kunna tilldelas ett kontrakt innan myndigheten har kontrollerat leverantören avseende skäl för uteslutning och kvalificeringskrav. Om myndigheten ställer krav på den tekniska och yrkesmässiga kapaciteten inträder en skyldighet att kontrollera den. En leverantör är dock inte skyldig att lämna in begärda dokument om myndigheten redan har tillgång till materialet eller kan få tillgång till detta kostnadsfritt.

Kommunen har uppgett att Certego uppfyller det aktuella kravet eftersom bolaget har levererat låstjänster åt bl.a. kommunen. De tjänster som Certego har utfört är dock inte likvärdiga med de tjänster som ingår i upphandlingen. Vidare har kommunen endast påstått att dokumentation om detta finns. Sandbergs har begärt ut dessa handlingar och tagit del av fyra ramavtal som Certego har med kommunen och dess bolag. Avtalen kan inte anses motsvara den begärda förteckningen. Två av avtalen avser dessutom helt andra tjänster än de som upphandlingen avser. Kommunen har inte tidigare uppgett att det finns dokument som innebär att Certego inte har behövt komma in med en förteckning. Kommunen har därför inte haft möjlighet att frånfalla sin begäran utan har varit skyldig att begära in en förteckning från Certego.

Kommunens påstående om att begäran om förteckning har skett av misstag framstår som en etterhandskonstruktion i syfte att försöka läka bristen i Certegos anbud. Kommunen har begärt att även Sandbergs skulle komma in med en förteckning, trots att bolaget tidigare har levererat tjänster åt bl.a. kommunen och dess bolag. Med kommunens synsätt borde Sandbergs också vara känt på samma sätt som Certego. Skälet till att kommunen har efterfrågat förteckningar från Sandbergs och Certego är att pågående eller tidigare uppdrag åt kommunen eller andra upphandlande myndigheter inte kan tillmätas betydelse i upphandlingen.

Eftersom Certegos anbud inte innehöll någon förteckning och Certego inte heller på begäran inkommit med en sådan skulle kommunen ha förkastat anbudet. Utan förteckningen har det inte varit möjligt att utvärdera Certegos anbud eftersom det inte varit jämförbart med de andra anbuden som uppfyller kravet. Att utvärdera Certegos anbud utan att ha säkerställt att det uppfyllde kravet strider mot likabehandlingsprincipen och lagen (2016:1145) om offentlig upphandling, LOU.

Vidare uppfyller Certego inte kravet i AFB.5273 om ledningssystem för informationssäkerhet. Certego saknar rutiner för incidenthantering och kontroll av efterlevnad. Med rutiner för incidenthantering avses rutiner för att hantera händelser med negativ påverkan. Med rutiner för kontroll av efterlevnad avses rutiner för att säkerställa att leverantören efterlever interna och externa krav. De dokument Certego har kommit in med innehåller i princip enbart bolagets övergripande målsättningar med informationssäkerhetsarbete men inga konkreta rutiner för incidenter.

Kommunen bestrider bifall till överklagandet och anför bl.a. följande. Certegos anbud borde inte förkastas på grund av det saknar den aktuella förteckningen. Både Certego och Sandbergs har fram till den aktuella upphandlingen haft samma uppdrag som i upphandlingen. Certego har sedan år 2012 utfört tjänsterna lås, leverans, montering och service åt kommunen och dess bolag genom upphandlade avtal. Certego är således en känd leverantör för kommunen och dess bolag.

Certego har uppgett att det uppfyller kravet på erfarenhet och referenser. Kommunen har i samband med utvärderingen bedömt att Certego har de erfarenheter och referenser som efterfrågas utifrån kommunens och dess bolags kännedom och erfarenhet. Kravet innebär att entreprenören ska ha branscherfarenhet och erfarenhet av liknande leveranser. Även uppdrag som har utförts åt beställaren får beaktas. Avsikten har därmed inte varit att erfarenheten endast ska gälla samma typ av tjänst. Låstjänster utgör en liknande tjänst. Mot bakgrund av de arbeten som Certego har utfört åt kommunen och dess bolag bör det vara ostridigt att det finns underlag som visar att Certego har utfört aktuella tjänster. Certego har av denna anledning inte behövt lämna in den begärda förteckningen.

En upphandlande myndighet är normalt oförhindrad att bestämma om och hur en anbudsgivare ska visa att krav är uppfyllda. Kommunen har valt att få avgöra vilket underlag som krävs vid bedömningen av om det aktuella kravet är uppfyllt genom att använda formuleringen ”på begäran”. Detta innebär att anbudsgivare som påstår att de uppfyller kravet och är okända för kommunen på begäran ska kunna visa att de uppfyller kravet. Kommunen har därmed möjlighet att frånfalla en begäran när den har tillräckligt underlag. Mot bakgrund av kravets utformning hade det inte varit i strid med LOU om kommunen inte hade begärt en komplettering från början.

Kommunen har inför utvärderingen begärt in underlag utan att närmare granska anbuden och anbudsgivarna. Kommunen har inte bara begärt in förteckningar utan även annat underlag från både Sandbergs och Certego. En ordning som innebär att kommunen inte har möjlighet att frånfalla en begäran om komplettering som har föranletts av ett misstag skulle vara orimlig med hänsyn till konsekvenserna för anbudsgivare som uppfyller kraven. Detta riskerar att strida mot likabehandlingsprincipen och syftet att en upphandling ska främja en öppen konkurrens.

Kravet om ledningssystem för informationssäkerhet innebär inte att beskrivningarna måste avse ett visst antal handlingar eller rubriceras som rutiner. Det relevanta är vad handlingarna innehåller. Kommunen har bedömt att Certego uppfyller kravet. Certego har redogjort för sina styrdokument, sitt ledningssystem och vilka resurser, roller och befogenheter samt vilket ansvar som finns gällande säkerhetsarbetet. Certego har lämnat in rutiner för incidenthantering. Kravet kan inte i efterhand fyllas ut med ytterligare innehåll. Det saknas därför grund för att genomföra en ny anbudsutvärdering.

Certego har getts tillfälle att yttra sig i målet men har inte hörts av.

SKÄLEN FÖR KAMMARRÄTTENS AVGÖRANDE

Rättsliga utgångspunkter

Enligt 4 kap. 1 § LOU ska upphandlande myndigheter behandla leverantörer på ett likvärdigt och icke-diskriminerande sätt. Av 4 kap.

10 § andra stycket 3 LOU framgår att myndigheten ska kontrollera att uppställda kvalificeringskrav är uppfyllda innan den tilldelar kontrakt.

I 15 kap. 4 § LOU anges att den leverantör som myndigheten avser att tilldela kontraktet på begäran av myndigheten ska lämna kompletterande dokument enligt 15 kap. 6-13 §§ LOU. En sådan begäran ska göras innan myndigheten beslutar att tilldela ett kontrakt. Enligt 15 kap. 11 §2 LOU får en begäran avse en förteckning över de viktigaste varuleveranser eller tjänster som har utförts under högst de tre senaste åren, med angivande av värde, tidpunkt och privata eller offentliga mottagare. Enligt 15 kap. 5 § LOU är en leverantör inte skyldig att lämna in kompletterande dokument eller andra skriftliga bevis om myndigheten redan har tillgång till materialet eller har möjlighet att kostnadsfritt få tillgång till intyg eller relevant information direkt med hjälp av elektroniska medel.

En leverantör ska inte kunna tilldelas ett kontrakt innan den har kontrollerats gällande tillämpliga kvalificeringskrav. Detta görs obligatoriskt eftersom det bör säkerställas att inte någon leverantör som inte uppfyller kraven tilldelas kontraktet. De kompletterande dokumenten ska spegla aktuella förhållanden. En situation när leverantören inte bör vara skyldig att lämna in kompletterande dokument är om leverantören i en tidigare upphandling har lämnat in samma dokument och myndigheten fortfarande har tillgång till det (prop. 2015/16:195 s. 770 och 1100 f£.).

När en upphandlande myndighet har kommit fram till att en viss uppgift måste finnas i anbudet, och därför ställt ett obligatoriskt krav, ska potentiella leverantörer kunna utgå från att kravet är så viktigt att den som anser sig inte kunna eller vilja uppfylla kravet avstår från att lämna ett anbud. Om myndigheten under upphandlingens gång överväger att avvika från ett obligatoriskt krav har den att bedöma om en avvikelse är möjlig i förhållande till de allmänna principerna, främst principen om likabehandling (HFD 2016 ref. 37 ID.

Kammarrättens bedömning

Kammarrätten instämmer i förvaltningsrättens bedömning att Certego uppfyller kraven i AFB.325 om teknisk och yrkesmässig kapacitet. Vidare specificerar inte kraven i AFB.5273 om informationssäkerhetsarbete att rutinerna för riskhantering, incidenthantering och kontroll av efterlevnad ska ha ett visst innehåll. Kammarrätten anser i likhet med förvaltningsrätten att Certego har lämnat in dokumentation i vilken bolagets policy och rutiner beskrivs i enlighet med kraven. Frågan är därmed om det finns skäl för att ingripa mot upphandlingen på grund av att kommunen har tilldelat Certego kontrakt trots att bolaget inte har lämnat in den begärda förteckningen.

I AFB.526 om erfarenhet och referenser anges som kvalificeringskrav att entreprenören ska ha branscherfarenhet och erfarenhet av liknande leveranser. I kravet anges även att entreprenören i anbudet eller på begäran ska tillhandahålla en förteckning över de tre viktigaste liknande uppdragen under de senaste tre åren med en kort sammanfattande beskrivning av innehåll och omfattning samt tidpunkt för uppdragets utförande. Detta obligatoriska krav har gett potentiella leverantörer anledning att förutsätta att det har varit viktigt för kommunen.

Av utredningen framgår att Certego i sitt anbud inte har tillhandahållit någon förteckning över de tre viktigaste liknande uppdragen under de senaste tre åren. Kommunen har efter anbudstidens utgång begärt att Sandbergs och Certego skulle lämna in sådana förteckningar. Sandbergs har lämnat in den begärda förteckningen. Certego har dock inte lämnat in en förteckning, trots påminnelse från kommunen.

Kommunen har uppgett att Certego inte har behövt lämna in den aktuella förteckningen eftersom kommunen har kännedom om Certego genom liknande arbeten som bolaget tidigare har utfört åt kommunen och dess bolag. Kommunen har därvid hänvisat till de ramavtal som Sandbergs har tagit del av. Av ramavtalen framgår att de omfattar bl.a. lås ochnyckelservicehantering, låssmedstjänster, passersystem och inbrottslarm.

Ramavtalen avser liknande uppdrag som i den nu aktuella upphandlingen. Av avtalen framgår dock endast villkoren för kontrakt som ska tilldelas under avtalens giltighetstid och inte i vilken utsträckning och vid vilken tidpunkt uppdrag har utförts. I detta sammanhang noterar kammarrätten att tre av de fyra avtalen har varit giltiga längre tid än tre år före det att den nu aktuella upphandlingen annonserades. Uppgifterna i ramavtalen motsvarar inte en sådan förteckning som kommunen har begärt av Certego. Det har inte heller kommit fram att kommunen haft tillgång till något annat dokument som motsvarar en sådan förteckning. Certego har därmed varit skyldig att lämna in den begärda förteckningen.

Mot denna bakgrund finner kammarrätten att kommunens åtgärd att godta Certegos anbud är inte är förenlig med likabehandlingsprincipen och LOU. Detta har medfört att Sandbergs har lidit skada. Vid dessa förhållanden ska upphandlingen rättas på så sätt att kommunen ska göra en ny anbudsutvärdering och vid den inte beakta Certegos anbud.

Överklagandet ska bifallas i enlighet med det anförda.

HUR MAN ÖVERKLAGAR, se bilaga B (formulär 9).

Catharina Brege Magnus Schultzberg Anette Briheim Fällman kammarrättsråd kammarrättsråd kammarrättsråd ordförande referent

Niclas Fjällid fiskal föredragande

Bilaga

SÖKANDE

Sandbergs Trygghetsprodukter AB, 556351-4248 S:t Olofsgatan 46 753 30 Uppsala

MOTPART

Uppsala kommun 753 75 Uppsala

SAKEN

Överprövning enligt lagen (2016:1145) om offentlig upphandling, LOU

FÖRVALTNINGSRÄTTENS AVGÖRANDE

Förvaltningsrätten avslår ansökan om överprövning.

BAKGRUND OCH

YRKANDEN M.M.

Uppsala kommun (kommunen) genomför en ramavtalsupphandling avseende passersystem och inbrottslarm med dnr KSN-2019-02965. I tilldelningsbeslut den 3 april 2020 antogs anbud från Certego AB (Certego), Sandbergs trygghetsprodukter AB (Sandbergs) samt NVSS Security AB i den angivna rangordningen.

Sandbergs ansöker om överprövning och yrkar att förvaltningsrätten ska besluta att upphandlingen inte får avslutas förrän rättelse har gjorts på så sätt att Certegos anbud diskvalificerats. Till stöd för sin ansökan anför Sandbergs i huvudsak följande. Certegos anbud uppfyller inte samtliga krav i förfrågningsunderlaget. Om upphandlingen inte rättas lider Sandbergs skada då ett korrekt beslut skulle innebära att Sandbergs vinner upphandlingen.

Kommunen bestrider ansökan och yrkar att den ska lämnas utan bifall. Till stöd för sin inställning för kommunen fram bl.a. att den bestrider påståendet att Certego inte uppfyller ska-kraven i den aktuella upphandlingen samt att kommunen inte har förfarit i strid med LOU.

SKÄLEN FÖR AVGÖRANDET

Tillämpliga bestämmelser m.m.

I 4 kap. I $ LOU anges följande. Upphandlande myndigheter ska behandla leverantörer på ett likvärdigt och icke-diskriminerande sätt samt genomföra upphandlingar på ett öppet sätt. Upphandlingar ska vidare genomföras i enlighet med principerna om ömsesidigt erkännande och proportionalitet.

Av 20 kap. 6 § LOU framgår att om en upphandlande myndighet har brutit mot någon av de grundläggande principerna i 4 kap. 1 § eller någon annan bestämmelse i LOU och detta har medfört att en leverantör som har ansökt om överprövning har lidit eller kan komma att lida skada, ska rätten besluta att upphandlingen ska göras om eller att den får avslutas först sedan rättelse har gjorts.

Kraven i AFB.525 Teknisk och yrkesmässig kapacitet

Krav avseende intyg, avtal eller motsvarande

Sandbergs anför i denna del bl.a. följande. Det saknas bevis för att Certego uppfyller kravet avseende teknisk och yrkesmässig kapacitet då bolaget inte har visat att det är en certifierad återförsäljare eller har leveransavtal eller motsvarande med de leverantörer som avses gällande efterfrågad tjänst, vilka har specificerats i prisformuläret. När kommunen i upphandlingsunderlaget begär bevis med leveransintyg eller liknande kan man inte annat än dra slutsatsen att det gäller produkterna/fabrikaten i prisformuläret. Detta då det inte finns några andra referenser samt då det är dessa fabrikat som kommunen idag har installerat i sina lokaler. För att kunna klara av uppdraget måste man kunna leverera dessa fabrikat. Kommunen begärde in intyg eller avtal från huvudleverantör som säkerställer att huvudleverantören tillhandahåller produkter och reservdelar samt erforderlig utbildning och support. Certego har lämnat in intyg från tre leverantörer. Två saknar relevans för anbudet då inget av de två fabrikaten efterfrågas i upphandlingen. Endast det tredje intyget avseende RCO Security AB (RCO) var relevant. RCO svarar enbart för ca 42 procent av tjänsten. Det saknas intyg från övriga fem leverantörer som specificerades i prisformuläret. Certego har inte uppfyllt kravet på att visa att bolaget kan leverera det som efterfrågas, då det efterfrågats leverans av sex olika fabrikat. För att kunna utföra driftsättning av en produkt från RCO krävs vidare ett specifikt certifikat, vilket också saknas i anbudet.

Kommunen anför i denna del bl.a. följande. Det aktuella kravet har inte samband med prisformuläret på det sättet att inte andra fabrikat får förekomma. Som framgår av formuläret är nämnda fabrikat de vanligaste inom området. Certego har lämnat pris på samtliga dessa fabrikat och förklarat i anbudet att bolaget har tillgång till dessa. För övrigt levererar Certego, liksom Sandbergs, från de aktuella fabrikaten enligt det nu gällande ramavtalet. Kommunen har därför inte haft anledning att ifrågasätta tillgången till produkterna. Kommunen har med kompletteringen inte avsett att intyg från alla fabrikat måste lämnas in och så är inte heller kravet utformat. Kompletteringen utgör en stickprovskontroll. Certego har i sin komplettering ingivit intyg från bl.a. RCO som enligt Certegos prisformulär utgör huvuddelen av utvärderingsvolymen.

I punkt AFB.525 i de administrativa föreskrifterna anges bl.a. följande. Entreprenören ska ha teknisk och yrkesmässig kapacitet att genomföra efterfrågad tjänst/leverans. Med detta menas att entreprenören ska ha tillgång till/kunna utföra vad som anges i vissa punkter. I en punkt anges att intyg, avtal eller motsvarande ska finnas, avseende teknik och leverans, som säkerställer att huvudleverantören för passersystem tillhandahåller produkter, reservdelar samt erforderlig utbildning och support till entreprenören.

Efterfrågade dokument/certifikat/intyg som styrker efterfrågade kompetenser och bevis ska på begäran bifogas anbudet.

Förvaltningsrätten anser inte att det aktuella kravet ska förstås som att det avser alla fabrikat som nämns i prisformuläret. Av utredningen i målet framgår att kommunen begärde att Certego skulle skicka in intyg eller avtal från huvudleverantör som säkerställer att huvudleverantören tillhandahåller produkter och reservdelar m.m. Certego skickade in vissa handlingar avseende RCO, som enligt Certegos prisformulär utgör huvuddelen av utvärderingsvolymen. Förvaltningsrätten anser inte att Sandbergs har visat att kommunen skulle ha agerat i strid med upphandlingsdokumentet när den bedömt att Certegos komplettering varit tillräcklig. Det finns mot denna bakgrund inte skäl att ingripa mot upphandlingen med anledning av vad Sandbergs har anfört i denna del.

Krav avseende rutin för uppföljning av polistillstånd

Sandbergs anför i denna del bl.a. följande. Kommunen begärde in Certegos rutin för uppföljning av polistillstånd. Kommunen fick inte in något dokument som uppfyller kravet. Certegos redogörelse för sin tekniska och yrkesmässiga kapacitet är enligt Sandbergs mening inte en sådan rutin som krävts. Kravet enligt upphandlingsunderlaget är därmed inte uppfyllt. Sandbergs bestrider att kommunen skulle ha skickat sin begäran till Certego av misstag. Det finns inte något underlag som tyder på det. Certego har inte skickat in bevis som visar att bolaget uppfyller kravet efter att bolaget fått en begäran om det, och uppfyller därmed inte kravet på att skicka in bevis efter begäran. Om en begäran om komplettering skulle ha skickats av misstag anser Sandbergs att en sådan måste uppfyllas om den inte tas tillbaka på ett formellt och korrekt sätt. Ingen kommunikation eller minnesanteckningar visar att kommunen informerat Certego om att bolaget inte skulle behöva svara på någon förfrågan eller att någon förfrågan har varit felaktig.

Kommunen anför i denna del bl.a. följande. Av handlingar som Sandbergs har skickat in ser det ut som om kommunen begärt in två kompletteringar från Certego, varav det framgår av den ena att mailadressen också är ställd till en medarbetare på Sandbergs. Kommunen har nämligen av misstag skickat den ena begäran om komplettering även till Certego trots att den enbart var ämnad för Sandbergs. Rutinen för polistillståndet har således inte begärts av Certego utan den framgår av Certegos redogörelse för teknisk och yrkesmässig kapacitet och har därmed funnits med i Certegos anbud.

Av AFB.525 i de administrativa föreskrifterna framgår att entreprenören på begäran ska lämna in dokument som styrker att denne har en rutin för uppföljning av sitt polistillstånd avseende regelbunden kontroll av om personal finns med i belastningsregistret. Kommunen har begärt en sådan komplettering av Certego. Certego har till sitt anbud bifogat ett dokument i vilket bolagets rutin för uppföljning av polistillstånd anges. Förvaltningsrätten anser att det inte har framkommit annat än att Certego uppfyllt kravet om att ha en rutin för uppföljning av sitt polistillstånd. Att kommunen har begärt en komplettering gällande detta, trots att rutinen framgått av en bilaga till anbudet, förändrar inte förvaltningsrättens bedömning. Det finns mot denna bakgrund inte skäl att ingripa mot upphandlingen med anledning av vad Sandbergs har anfört i denna del.

Kraven i AFB.526 Erfarenhet och referenser

Sandbergs anför i denna del bl.a. följande. Kommunen begärde att Certego skulle skicka in en förteckning över bolagets tre viktigaste liknande uppdrag under de tre senaste åren. Certego har trots detta inte lämnat in en förteckning över referenser som uppfyller kravet. Certego kan inte anses uppfylla kravet så länge kommunen inte kan styrka att Certego fått skriftligt meddelande om att bolaget inte behöver svara på den skriftliga begäran. Det finns inte minsta spår av att begäran skulle ha gjorts av misstag. Ingen kommunikation eller minnesanteckningar visar att kommunen informerat Certego om att bolaget inte skulle behöva svara på någon förfrågan eller att någon förfrågan har varit felaktig. Sandbergs bestrider att Certego skulle kunna uppfylla kravet i upphandlingen genom att vara känd av kommunen och att det skulle innebära att bolaget inte behöver svara på en begäran. Vidare avser den här upphandlingen inbrottslarm och passagesystem och inte lås etc. som är ett helt annat avtalsområde. Det kan inte anses vara likvärdiga områden då personal för dessa områden gäller under olika fackliga avtal och har olika yrkesbeteckningar. Hur bra ett bolag är på att sätta in ett låssystem är inte likvärdigt med hur bra det klarar av att sätta in ett passagesystem eller ett inbrottslarm. Om Certego skulle ha använt referenser gällande låssystem för den här upphandlingen hade Sandbergs inte ansett att detta uppfyllt kraven då dessa inte kan anses vara likvärdiga. Även om kommunen skulle kunna ange namn, tidpunkt och omfattning för de tre uppdrag som den påstår sig grunda sitt beslut på så ger kraven i upphandlingen inte utrymme för det. Alternativt skulle ett sådant handlande ha brutit mot likabehandlingsprincipen.

Kommunen anför i denna del bl.a. följande. Av misstag kom punkten

AFB.526 med i kompletteringen till Certego trots att kommunen mycket väl känner till att Certego utför tre liknande uppdrag. Certego arbetar åt kommunen och även åt kommunens bolag vad gäller leverans, montering och service av lås. Vidare utför Certego motsvarande arbete åt närliggande myndigheter i länet. Mot denna bakgrund behövde kommunen inte någon särskild förteckning av referenser beträffande Cerego och frånföll därför denna punkt i begäran inför utvärderingen. Det avgörande är att anbudsgivaren har den erfarenhet som kravet innebär och kravet kan anses uppfyllt vid anbudstidens utgång även om inte en förteckning finns med i anbudet eftersom kravet innebär att kommunen kan begära en komplettering vid behov. För övrigt innebär kravet erfarenhet från liknande leveranser, vilket betyder att erfarenhet inte behöver komma från exakt samma avtalsområde.

Det fanns inte någon skyldighet för kommunen att skriftligen meddela Certego att bolaget inte behövde svara i denna del eftersom kommunen kan begära komplettering vid behov. Att begå detta misstag kan inte anses utgöra ett brott mot LOU. Snarare skulle en diskvalificering av Certegos anbud kunna utgöra brott mot LOU eftersom de, de facto, uppfyllde kravet redan vid anbudstidens utgång. Mot denna bakgrund har Certego uppfyllt ska-kravet i den aktuella punkten.

I punkt AFB.526 i de administrativa föreskrifterna anges att entreprenören ska ha branscherfarenhet och erfarenhet av liknande leveranser. Vidare anges att entreprenören, i anbudet eller på begäran, ska tillhandahålla en förteckning över de tre viktigaste liknande uppdragen under de senaste tre åren med en kort sammanfattande beskrivning av innehåll och omfattning samt tidpunkt för uppdragets utförande, alternativt på annat sätt redo göra för vilken erfarenhet man har av liknande leveranser.

Förvaltningsrätten konstaterar att kommunen har begärt att Certego ska tillhandahålla en förteckning enligt ovanstående och att Certego inte skickat in någon sådan eller på något annat sätt redogjort för vilken erfarenhet bolaget har av liknande leveranser. Av de administrativa föreskrifterna framgår dock att det är upp till kommunen om en förteckning ska begäras in. Förvaltningsrätten bedömer att kommunen i sådan situation också har möjlighet att frånfalla en begäran. Kommunen får anses ha gjort detta när den valt att anta anbudet från Certego utan att bolaget skickat in den aktuella förteckningen. Detta förfarande, som inte har dokumenterats skriftligen, innebär enligt förvaltningsrättens mening inte att kommunen agerat i strid med LOU. Vad Sandbergs har anfört förändrar inte den bedömningen. Det finns mot denna bakgrund inte skäl att ingripa mot upphandlingen med anledning av det som Sandbergs anfört gällande Certegos uppfyllnad av kraven avseende erfarenhet och referenser.

Kraven i AFB.5273 Informationssäkerhetsarbete

Sandbergs anför i denna del bl.a. följande. Certego har skickat in en säkerhetspolicy samt ett dokument som innehåller en rutin gällande riskhantering. Det saknas dock ytterligare en rutin avseende riskhantering, två rutiner för incidenthantering samt två rutiner för efterlevnad. Kommunen begärde in

Certegos ledningssystem för informationssäkerhetsarbete. Sandbergs har låtit en expert titta på de dokument som Certego skickade in. Experten har också dragit slutsatsen att Certego inte uppfyller kraven.

Kommunen anför i denna del bl.a. följande. Sandbergs påstår att kravet innebär att ett visst antal rutiner måste inlämnas för att ska-kravet ska anses ha uppfyllts om en leverantör inte innehar ISO 27001-certifiering.

Kommunen bestrider denna tolkning. Självfallet har syftet med det aktuella ska-kravet varit att leverantören ska redogöra för sitt ledningssystem man byggt upp i nämnda avseende och att redo görelsen ska beskriva hur leverantören upprätthåller kraven på konfidentialitet, tillgänglighet och riktighet. Beskrivningen måste innehålla de punkter som anges i de administrativa föreskrifterna men det innebär inte, och det står inte heller så i ska-kravet, att anbudet måste innehålla ett visst antal handlingar benämnda rutiner.

Kommunen har bedömt att Certego redogjort för sitt eget ledningssystem på ett sätt som uppfyller det aktuella ska-kravet. Sandbergs expert har i sitt utlåtande inte redogjort för på vilket sätt Certego i sina beskrivningar inte skulle ha uppfyllt kraven i förfrågningsunderlaget. Texten i utlåtandet återger enbart nämnda krav och att de inte uppfylls genom att två rutinhandlingar saknas, men som sagt inte på vilket sätt. Mot denna bakgrund saknas grund för påståendet att Certego skulle ha diskvalificerats.

I punkt AFB.5273 i de administrativa föreskrifterna anges att entreprenören ska ha ett ledningssystem för informationssäkerhet som beskriver på vilket sätt konfidentialitet, tillgänglighet och riktighet upprätthålls. Vidare anges att ledningssystemet minst ska omfatta policy för informationssäkerhet, rutiner för riskhantering, rutiner för incidenthantering och rutiner för kontroll av efterlevnad. Alternativt ska leverantören inneha certifiering enligt ISO 27001 eller motsvarande standard som ska inkludera de ovan nämnda sakerna.

Förvaltningsrätten anser att kravet avseende ledningssystem för informationssäkerhet inte ska uppfattas så att det skulle krävas att det finns minst två handlingar benämnda rutiner för riskhantering, incidenthantering respektive kontroll av efterlevnad. Förvaltningsrätten anser att det inte har framkommit annat än att de dokument som Certego lämnat in uppfyller kravet. Det intyg som Sandbergs har åberopat föranleder ingen annan bedömning. Det finns därför inte skäl att ingripa mot upphandlingen med anledning av det som Sandbergs har anfört gällande Certegos uppfyllnad av kraven avseende informationssäkerhetsarbete.

Samman fattning

Sammanfattningsvis finns det inte skäl att ingripa mot upphandlingen på de grunder som Sandbergs har anfört. Ansökan om överprövning ska därmed avslås.

HUR MAN ÖVERKLAGAR, se bilaga (FR-05)

Kristina Jaros Åberg rådman

Målet har beretts av föredragande juristen Jolinn Andersson Engblom.