číslo jednací: 07501/2024/500
spisová značka: S0628/2023/VZ

 

Úřad pro ochranu hospodářské soutěže příslušný podle § 248 zákona č. 134/2016 Sb., o zadávání veřejných zakázek, ve znění pozdějších předpisů, ve správním řízení zahájeném dne 29. 9. 2023 na návrh ze dne 27. 9. 2023, jehož účastníky jsou

• zadavatel – Klatovská nemocnice, a.s., IČO 26360527, se sídlem Plzeňská 929, 339 01 Klatovy,
• zadavatel – Rokycanská nemocnice, a.s., IČO 26360900, se sídlem Voldušská 750, 337 01 Rokycany,
• zadavatel – Stodská nemocnice, a.s., IČO 26361086, se sídlem Hradecká 600, 333 40 Stod,
• zadavatel – Domažlická nemocnice, a.s., IČO 26361078, se sídlem Kozinova 292, 344 01 Domažlice,
• zadavatel – Nemocnice následné péče Svatá Anna, s.r.o., IČO 26360896, se sídlem Kyjovská 607, 348 15 Planá,
• zadavatel – Nemocnice následné péče LDN Horažďovice, s.r.o., IČO 26360870, se sídlem Blatenská 314, 341 01 Horažďovice,
• navrhovatel – Huawei Technologies (Czech) s.r.o., IČO 27367061, se sídlem Jihlavská 1558/21, 140 00 Praha 4,

ve věci přezkoumání úkonů cit. zadavatelů učiněných při společném zadávání veřejné zakázky „Modernizace ICT pro zvýšení kybernetické bezpečnosti“ v otevřeném řízení, jehož oznámení bylo odesláno k uveřejnění dne 14. 7. 2023 a uveřejněno ve Věstníku veřejných zakázek dne 17. 7. 2023 pod ev. č. Z2023-030576, ve znění pozdějších oprav, a v Úředním věstníku Evropské unie dne 19. 7. 2023 pod ev. č. 2023/S 137-438254, ve znění pozdějších oprav,

rozhodl takto:

Návrh navrhovatele – Huawei Technologies (Czech) s.r.o., IČO 27367061, se sídlem Jihlavská 1558/21, 140 00 Praha 4 – ze dne 27. 9. 2023 na zahájení správního řízení o přezkoumání úkonů zadavatelů

• Klatovská nemocnice, a.s., IČO 26360527, se sídlem Plzeňská 929, 339 01 Klatovy,
• Rokycanská nemocnice, a.s., IČO 26360900, se sídlem Voldušská 750, 337 01 Rokycany,
• Stodská nemocnice, a.s., IČO 26361086, se sídlem Hradecká 600, 333 40 Stod,
• Domažlická nemocnice, a.s., IČO 26361078, se sídlem Kozinova 292, 344 01 Domažlice,
• Nemocnice následné péče Svatá Anna, s.r.o., IČO 26360896, se sídlem Kyjovská 607, 348 15 Planá, a
• Nemocnice následné péče LDN Horažďovice, s.r.o., IČO 26360870, se sídlem Blatenská 314, 341 01 Horažďovice,

učiněných při společném zadávání veřejné zakázky „Modernizace ICT pro zvýšení kybernetické bezpečnosti“ v otevřeném řízení, jehož oznámení bylo odesláno k uveřejnění dne 14. 7. 2023 a uveřejněno ve Věstníku veřejných zakázek dne 17. 7. 2023 pod ev. č. Z2023-030576, ve znění pozdějších oprav, a v Úředním věstníku Evropské unie dne 19. 7. 2023 pod ev. č. 2023/S 137-438254, ve znění pozdějších oprav, se podle § 265 písm. a) zákona č. 134/2016 Sb., o zadávání veřejných zakázek, ve znění pozdějších předpisů, zamítá, neboť nebyly zjištěny důvody pro uložení nápravného opatření.

                                                                  Odůvodnění

I.               ZADÁVACÍ ŘÍZENÍ

1.             Odesláním oznámení o zahájení zadávacího řízení k uveřejnění zadavatelé

• Klatovská nemocnice, a.s., IČO 26360527, se sídlem Plzeňská 929, 339 01 Klatovy (dále jen „zadavatel Klatovská nemocnice“),
• Rokycanská nemocnice, a.s., IČO 26360900, se sídlem Voldušská 750, 337 01 Rokycany,
• Stodská nemocnice, a.s., IČO 26361086, se sídlem Hradecká 600, 333 40 Stod,
• Domažlická nemocnice, a.s., IČO 26361078, se sídlem Kozinova 292, 344 01 Domažlice,
• Nemocnice následné péče Svatá Anna, s.r.o., IČO 26360896, se sídlem Kyjovská 607, 348 15 Planá,
• Nemocnice následné péče LDN Horažďovice, s.r.o., IČO 26360870, se sídlem Blatenská 314, 341 01 Horažďovice (dále společně jen „zadavatel“),

kteří jsou veřejnými zadavateli dle § 4 odst. 1 písm. e) zákona č. 134/2016 Sb., o zadávání veřejných zakázek, ve znění pozdějších předpisů (dále jen „zákon“),^[1] dne 14. 7. 2023 zahájili otevřené řízení za účelem zadání veřejné zakázky „Modernizace ICT pro zvýšení kybernetické bezpečnosti“; toto oznámení bylo ve Věstníku veřejných zakázek uveřejněno dne 17. 7. 2023 pod ev. č. Z2023-030576, ve znění pozdějších oprav, a v Úředním věstníku Evropské unie dne 19. 7. 2023 pod ev. č. 2023/S 137-438254, ve znění pozdějších oprav (dále jen „veřejná zakázka“ nebo „zadávací řízení“).

2.             Z dokumentace o zadávacím řízení vyplývá, že při zadávání předmětné veřejné zakázky zadavatelé využili institut společného zadávání zakotvený v § 7 zákona. Z bodu 5.1. článku 5 „Povinnosti smluvních stran“ smlouvy o společném zadávání ze dne 30. 6. 2023 (dále jen „smlouva o společném zadávání“) plyne, že hlavním účastníkem společného zadávání je zadavatel Klatovská nemocnice, přičemž tento bude samostatně provádět následující úkony:

„5.1.1. jednat se třetími osobami a dodavateli navenek během realizace veřejné zakázky,

5.1.2. jednat a administrátorem VZ a uzavřít s ním příkazní smlouvu o zastoupení zadavatele i jménem ostatních účastníků této Smlouvy,

5.1.3. pověřit posouzením a hodnocením nabídek osobu, která je odborně způsobilá ve vztahu k předmětu VZ,

5.1.4. specifikovat předmět plnění VZ, rozsah, technické podmínky a sdělit zvláštní požadavky,

5.1.5. stanovit autorská práva a licence,

5.1.6. stanovit obchodní, platební a sankční podmínky,

5.1.7. podepisovat zadávací dokumentaci a dokumenty související se zadávacím řízením, včetně rozhodnutí o vyřízení námitek,

5.1.8. vyřizovat žádosti o vysvětlení zadávací dokumentace, odsouhlasovat vysvětlení zadávací dokumentace,

5.1.9. rozhodovat o vyloučení dodavatele ze zadávacího řízení,

5.1.10. provádět běžné administrativní činnosti v zadávacím řízení,

5.1.11. zajistit uveřejnění uzavřené smlouvy s vybraným dodavatelem a případných dodatků v registru smluv,

5.1.12. vést a archivovat spis veřejné zakázky,“.

3.             V bodě 9.1. čl. 9 „Odpovědnost“ smlouvy o společném zadávání je stanoveno, že „Klatovská nemocnice odpovídá za činnosti vyhrazené ve čl. 5.1. Smlouvy. V ostatních záležitostech nesou smluvní strany společnou a nerozdílnou odpovědnost, pokud se nedohodnou písemně jinak.“.

4.             Z bodu 2.2 „Části VZ“ a bodu 2.3 „Předmět veřejné zakázky“ zadávací dokumentace plyne, že zadavatel předmět veřejné zakázky rozdělil na 3 samostatné části, a to:

• část 1: Technologie datového centra s předpokládanou hodnotou 78 236 795,- Kč bez DPH, v jejímž rámci požadoval dodat Výpočetní servery (malé, velké), Bloková disková pole (malá, střední, velká), Fibre channel přepínače (volitelně dle nabízené technologie), Příslušenství pro datacenterové technologie, Licence pro MS Windows server 2022 CAL, Licence pro další VMware technologie a Páteřní přepínače a páteřní serverové přepínače (všechny typy);
• část 2: Technologie zálohování s předpokládanou hodnotou 34 573 725,- Kč bez DPH, v jejímž rámci požadoval dodat Diskové pole pro nestrukturovaná data, Zálohovací a infrastrukturní server, Licence na zálohovací software, Páskovou knihovnu, Příslušenství pro datacenterové technologie;
• část 3: Technologie přístupu k informačním aktivům s předpokládanou hodnotou 46 298 320,- Kč bez DPH, v jejímž rámci požadoval dodat Licence pro VDI technologie, Přístupové přepínače (všechny typy), Bezdrátové přístupové body, Řadič bezdrátové sítě, Systém centrální správy LAN/WLAN, Systém centrální správy identit LAN/WLAN a Příslušenství pro síťové technologie.

Zadavatel si rovněž vymezil, že součástí nabídky na technologický celek (tj. jednotlivé části VZ) musí vždy být také implementace daného technologického celku a všechny práce s tím spojené.

5.             Přípisem ze dne 5. 9. 2023, který byl zadavateli Klatovská nemocnice doručen prostřednictvím datové schránky téhož dne, podal navrhovatel – Huawei Technologies (Czech) s.r.o., IČO 27367061, se sídlem Jihlavská 1558/21, 140 00 Praha 4 (dále jen „navrhovatel“) – námitky proti zadávacím podmínkám veřejné zakázky (dále jen „námitky“).

6.             Námitky navrhovatele zadavatel Klatovská nemocnice odmítl rozhodnutím ze dne 19. 9. 2023, které navrhovatel obdržel prostřednictvím datové schránky téhož dne.

7.             Vzhledem k tomu, že navrhovatel nepovažoval rozhodnutí zadavatele o námitkách za učiněné v souladu se zákonem, doručil Úřadu pro ochranu hospodářské soutěže (dále jen „Úřad“) dne 29. 9. 2023 návrh na zahájení správního řízení o přezkoumání úkonů zadavatele ze dne 27. 9. 2023 (dále jen „návrh“).

II.             OBSAH NÁVRHU

8.             Navrhovatel v úvodu návrhu rekapituluje dosavadní průběh zadávacího řízení. Dále shrnuje splnění formálních náležitostí pro podání návrhu a objasňuje důvody, jež ho vedly k podání návrhu.

9.             Navrhovatel má za to, že zadavatel svým postupem v zadávacím řízení vybočil z mezí zákona č. 181/2014 Sb., o kybernetické bezpečnosti a o změně souvisejících zákonů (zákon o kybernetické bezpečnosti), ve znění pozdějších předpisů (dále jen „ZKB"), když vyloučil plnění veřejné zakázky od výrobců uvedených ve varování Národního úřadu pro kybernetickou a informační bezpečnost ze dne 17. 12. 2018 (dále jen „NÚKIB“ a „varování") z důvodů plnění svých povinností dle § 4 odst. 4 ZKB. Navrhovatel dodává, že se zadavatel Klatovská nemocnice dovolává vertikálního přímého účinku směrnice Evropského Parlamentu a Rady (EU) 2016/1148 ze dne 6. července 2016 o opatřeních k zajištění vysoké společné úrovně bezpečnosti sítí a informačních systémů v Unii (dále jen „NIS1“) jako celku a dále čl. 85 a čl. 90 preambule směrnice Evropského Parlamentu a Rady (EU) 2022/2555 ze dne 14. prosince 2022 o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii a o změně nařízení (EU) č. 910/2014 a směrnice (EU) 2018/1972 a o zrušení směrnice (EU) 2016/1148 (dále jen „NIS2“), a dále návrhu zákona, kterým se má provést NIS2.

10.         Navrhovatel zastává názor, že se zadavatel Klatovská nemocnice obecnou odpovědí nevypořádal s nepřiměřeností a nezákonností vyloučení plnění navrhovatele. Podle názoru navrhovatele se zadavatel nevypořádal s námitkou, proč bylo zvoleno nejpřísnější bezpečnostní opatření v podobě vyloučení plnění navrhovatele z veřejné zakázky, proč toto opatření bylo zvoleno ve vztahu k celému rozsahu plnění veřejné zakázky a ve vztahu k zadavateli. Navrhovatel má za to, že rozhodné pro určení, zda zadavatel postupoval při stanovení napadené zadávací podmínky v souladu s právními předpisy, je posouzení souladu celého postupu zadavatele při hodnocení rizik kybernetické bezpečnosti se všemi relevantními ustanoveními ZKB a zejména prováděcí vyhlášky č. 82/2018 Sb., o bezpečnostních opatřeních, kybernetických bezpečnostních incidentech, reaktivních opatřeních, náležitostech podání v oblasti kybernetické bezpečnosti a likvidaci dat (dále jen „VKB"). Zadavatel Klatovská nemocnice se podle navrhovatele pouze omezil na konstatování, že vylučuje domněnku navrhovatele, že by neprovedl hloubkovou analýzu rizik dle metodiky NÚKIB a že je připraven v rámci případného přezkumu komplexní analýzu rizik poskytnout. Navrhovatel konstatuje, že z výše uvedeného důvodu nemůže ověřit tvrzení zadavatele o dodržení postupu dle metodiky NÚKIB. Další pochybnosti v navrhovateli vzbuzuje skutečnost, že namítaná zadávací podmínka nebyla přijata v rámci zveřejnění zadávací dokumentace, ale byla doplněna až na základě vysvětlení zadávací dokumentace. Navrhovatel považuje odkaz zadavatele Klatovská nemocnice na přímý vertikální účinek celé směrnice NIS1 za obecný a neurčitý. Odkaz na přímý vertikální účinek směrnice NIS2 podle navrhovatele neobstojí vůbec, neboť podmínkou pro přímý vertikální účinek směrnice je podle evropské judikatury marné uplynutí lhůty pro transpozici a implementaci směrnice, která je u NIS2 stanovena na 17. 10. 2024. Navrhovatel rovněž odmítá odůvodnění přiměřenosti bezpečnostního opatření z důvodu plnění povinností návrhu zákona, který podle něj ještě ani neprošel legislativním procesem.

11.         Navrhovatel je přesvědčen o tom, že když zadavatel vysvětlením zadávací dokumentace ze dne 18. 8. 2023 doplnil zadávací dokumentaci pro všechny její části o podmínku, že zadavatel na základě provedené analýzy rizik a plnění svých povinností vyplývajících ze ZKB a ve smyslu § 37 a § 89 zákona požaduje, aby dodavatelé nenabízeli předmět plnění výrobců Huawei Technologies Co., Ltd., Šen-čen, Čínská lidová republika (dále jen „Huawei“), a ZTE Corporation, Šen-Čen, Čínská lidová republika (dále jen „ZTE“), vůči kterým bylo vydáno varování NÚKIB ze dne 17. 12. 2018, neboť dodavatel, který nabídne předmět plnění výše uvedených výrobců, bude ze zadávacího řízení vyloučen (dále jen „napadená zadávací podmínka“), postupoval v rozporu se zákonem, neboť předmětná podmínka je stanovena v rozporu se základními zásadami zadávacího řízení stanovenými v § 6 zákona a je také v rozporu s § 36 odst. 1 zákona, neboť tímto postupem dochází omezení hospodářské soutěže.

12.         Navrhovatel se domnívá, že ZKB ukládá povinnosti toliko orgánům a osobám uvedeným v § 3 ZKB a povinnost provádět bezpečnostní opatření včetně zavedení systému řízení bezpečnosti informací a řízení rizik pouze osobám uvedeným § 4 odst. 2 ZKB, kdy těmito povinnými osobami jsou jen správce a provozovatel informačního systému kritické informační infrastruktury, správce a provozovatel komunikačního systému kritické informační infrastruktury, správce a provozovatel významného informačního systému a správce a provozovatel informačního systému základní služby. Zadavatel podle navrhovatele v rámci napadené zadávací podmínky ani jinde v zadávací dokumentaci neuvádí, zda se stal takovými osobami podle příslušných kritérií určených v ZKB a prováděcích právních předpisech, a zda tedy vůbec má povinnost přijímat bezpečnostní opatření ve vztahu k předmětu plnění veřejné zakázky a jeho dodavatelům a vylučovat uchazeče o veřejnou zakázku postupem dle ZKB.

13.         Navrhovatel zastává názor, že i kdyby celé poptávané plnění bylo určeno pro provozování významných informačních systémů, komunikačních a informačních systémů kritické informační infrastruktury, popř. informačního systému základní služby, a že je zároveň důvodné přijmout opatření dle ZKB v podobě vyloučení technických a programových prostředků společností Huawei a ZTE z předmětu veřejné zakázky, nebylo by možné takový závěr zadavatele přezkoumat. Navrhovatel je přesvědčen, že má-li být určitým způsobem omezena hospodářská soutěž s odkazem na povinnosti zadavatele dle ZKB, je nezbytné, aby bylo postaveno na jisto, že poptávané plnění je určeno pro provozování významných informačních systémů, komunikačních a informačních systémů kritické informační infrastruktury, resp. informačního systému základní služby, a tedy, že ve vztahu k celému předmětu plnění je zadavatel vázán povinnostmi dle ZKB.

14.         Navrhovatel je přesvědčen o tom, že ke každému z poptávaných technických nebo programových prostředků je třeba zkoumat, zda je určen pro provozování významných informačních systémů, komunikačních a informačních systémů kritické informační infrastruktury, resp. informačního systému základní služby, a zároveň zkoumat, zda je namístě úplné vyloučení technických a programových prostředků společností Huawei a ZTE, tj. zda nelze ve vztahu k jednotlivým poptávaným technickým a programovým prostředkům zvolit jiný způsob eliminace rizik, před kterými varoval NÚKIB ve svém varování. Navrhovatel je přesvědčen o tom, že ze zadávacích podmínek nevyplývá, že by zadavatel jakoukoli takovou úvahu či analýzu učinil. Navrhovatel má za to, že zadavatel bez hlubší analýzy vyloučil z předmětu veřejné zakázky veškeré technické a programové prostředky společností Huawei a ZTE, a to bez ohledu na to, zda lze či nelze ve vztahu k jednotlivým technickým a programovým prostředkům, které jsou předmětem veřejné zakázky, snížit rizika, před kterými varoval NÚKIB ve svém varování jiným, soutěž méně omezujícím způsobem.

15.         Zadavatel se dle přesvědčení navrhovatele dopustil nedůvodného omezení hospodářské soutěže, které pro svůj rozsah a obecný dopad nemá oporu v relevantních právních předpisech a příčí se i základním zásadám zadávání veřejných zakázek.

16.         Podle navrhovatele ze zadávací dokumentace vůbec nevyplývá, jaká úroveň rizika byla zadavatelem ve vztahu k využití technických a programových prostředků společnosti Huawei zjištěna. Navrhovatel se domnívá, že pokud zadavatel v rámci své analýzy rizik neurčil úroveň rizika postupem pro hodnocení rizik v souladu s § 5 odst. 1 písm. d) resp. § 5 odst. 2 VKB, nemůže z povahy věci ani aplikovat přiměřené bezpečnostní opatření na snížení zjištěné úrovně rizika na akceptovatelnou úroveň v souladu s § 4 odst. 4 ZKB. Navrhovatel zastává názor, že i kdyby zadavatel řádně provedl analýzu rizik a ta by s ohledem na varování NÚKIB indikovala vysokou míru rizika u produktů Huawei a ZTE, není na místě, aby zadavatel zcela vylučoval veškerá technická či programová řešení Huawei či ZTE  bez zohlednění jejich povahy, funkce, způsobu začlenění a významu v celkovém technickém řešení, neboť rizika plynoucí z použití takových řešení mohou být eliminována přijetím odpovídajících technických opatření, která může být dodavatel zavázán na své náklady, resp. v rámci plnění veřejné zakázky, provést. Dle názoru navrhovatele je zadavatel v souladu s ustanovením § 4 odst. 4 ZKB povinen volit taková opatření k plnění povinností dle ZKB, která co nejméně omezují hospodářskou soutěž.

17.         Navrhovatel zastává názor, že pokud by zadavatel přistoupil k dobrovolné aplikaci ustanovení ZKB a prováděcích právních předpisů a zavedení odpovídajících bezpečnostních opatření, je dle ustanovení § 8 odst. 2 písm. a) VKB v rámci zadávacího řízení a před uzavřením smlouvy povinen provést hodnocení rizik souvisejících s plněním předmětu zadávacího řízení, a to přiměřeně podle přílohy č. 2 VKB, kdy hodnocení rizik se sestává z identifikace rizik, analýzy rizik a vyhodnocení rizik. Ze zadávací dokumentace podle navrhovatele vyplývá pouze skutečnost, že zadavatel provedl pouze analýzu rizik, kdy zřejmě nepostupoval způsobem, jak mu ukládá ustanovení § 8 odst. 2 VKB a § 2 písm. d) VKB. K tomu navrhovatel dodává, že, aby byla povinná osoba schopná vymezit opatření k plnění povinností dle ZKB tak, aby co nejméně omezovala hospodářskou soutěž, musí napřed vypracovat či odpovídajícím způsobem aktualizovat plán zvládání rizik, při jehož tvorbě náležitě uváží všechna potenciální opatření, která by mohla být přijata ke snížení rizik identifikovaných v analýze rizik, a posoudí jejich dopady do hospodářské soutěže. Zároveň by povinná osoba podle navrhovatele měla uvážit aktuálnost úrovně akceptovaného zbytkového rizika, zda např. není neodůvodnitelně nízké a teprve poté může zadavatel vymezit opatření k plnění povinností dle ZKB tak, aby opravdu omezovalo soutěž jen v nezbytně nutném rozsahu.

18.         Navrhovatel je přesvědčen o tom, že postup zadavatele, který bez dalšího zakazuje dodavatelům nabízet veškeré technické a programové prostředky společností uvedených ve varování NÚKIB, aniž by prokazatelně provedl úplné hodnocení rizik dle ZKB ve spojení s VKB, zejména aniž by náležitě zvážil možná opatření ke snížení rizik případně identifikovaných v analýze rizik, která by méně omezovala hospodářskou soutěž, není v souladu se ZKB ani se zákonem.

19.         Postup zadavatele je podle navrhovatele v rozporu se zásadou transparentnosti, neboť ze zadávacích podmínek nevyplývá:

• zda a v jakém rozsahu zadavatel provedl kompletní hodnocení rizik;
• jaká rizika byla ve vztahu k potenciálnímu využití technických a programových prostředků Huawei a ZTE identifikována, a to samostatně ve vztahu ke každému prvku poptávaného plnění;
• z jakých konkrétních důvodů bylo ke snížení identifikovaných rizik zvoleno právě opatření v podobě vyloučení veškerých technických a programových prostředků osob jmenovaných ve Varování NÚKIB, když toto opatření s sebou nese to největší v úvahu přicházející omezení hospodářské soutěže;
• z jakého důvodu bylo nezbytné vyloučit skutečně veškeré technické a programové prostředky osob jmenovaných ve Varování NÚKIB a pro všechny součásti předmětu plnění veřejné zakázky, a to bez ohledu na jejich povahu, funkci, způsob začlenění a význam v celkovém technickém řešení a infrastruktuře zadavatele;
• jaká jiná opatření ke snížení rizik identifikovaných v analýze rizik zadavatel zvažoval a z jakého důvodu se taková jiná, méně soutěž omezující opatření nejeví jako dostatečná.

20.         Navrhovatel uvádí, že zadávací podmínky paušálně vylučují všechny potenciální dodavatele, kteří by měli zájem předložit nabídky obsahující řešení obsahující technické či programové prostředky Huawei nebo ZTE, a to bez ohledu na to, zda by byli schopni v rámci svého technického řešení zajistit eliminaci všech rizik plynoucích z analýzy rizik, resp. jejich snížení na zadavatelem akceptovatelnou úroveň.

21.         S ohledem na svoji argumentaci obsaženou v návrhu považuje navrhovatel zadávací podmínky za netransparentní a diskriminační, které jsou v rozporu se zásadou rovného zacházení a zásadou přiměřenosti.

22.         Navrhovatel navrhuje, aby Úřad vydal rozhodnutí, ve kterém bude konstatovat, že zadávací podmínky jsou nezákonné a ve kterém rozhodne o uložení nápravného opatření spočívajícího ve zrušení zadávacího řízení.

III.           PRŮBĚH SPRÁVNÍHO ŘÍZENÍ

23.         Úřad obdržel návrh navrhovatele dne 29. 9. 2023 a tímto dnem bylo podle § 249 zákona ve spojení s § 44 odst. 1 zákona č. 500/2004 Sb., správní řád, ve znění pozdějších předpisů (dále jen „správní řád“) zahájeno správní řízení o přezkoumání úkonů zadavatele. Zadavatel Klatovská nemocnice obdržel stejnopis návrhu rovněž dne 29. 9. 2023.

24.         Účastníky správního řízení podle § 256 zákona jsou:

o   zadavatel,

o   navrhovatel.

25.         Zahájení správního řízení oznámil Úřad jeho účastníkům přípisem ze dne 3. 10. 2023. Z důvodu administrativního nedopatření však byli jako účastníci správního řízení v předmětném oznámení označeni toliko zadavatel Klatovská nemocnice a navrhovatel. Z uvedeného důvodu Úřad následně opětovně oznámil zahájení správního řízení, a to přípisem ze dne 28. 11. 2023.

26.         Dne 9. 10. 2023 obdržel Úřad vyjádření zadavatele Klatovská nemocnice k návrhu navrhovatele a týž den i dokumentaci o zadávacím řízení.

Vyjádření zadavatele Klatovská nemocnice k návrhu

27.         Zadavatel Klatovská nemocnice zastává názor, že zadávací dokumentace je koherentní, nediskriminační, transparentní a přiměřená, a současně je v plném souladu nejen s podmínkami poskytovatele dotace z Integrovaného regionálního operačního programu na Rozvoj, modernizaci a posílení odolnosti páteřní sítě poskytovatelů zdravotní péče s ohledem na potenciální hrozby, ale i ZKB.

28.         Zadavatel Klatovská nemocnice je přesvědčen o tom, že se s námitkami navrhovatele vypořádal dostačujícím způsobem, a to s odkazem na platnou legislativu, a to jak národní, tak i unijní. Zadavatel Klatovská nemocnice uvádí, že postupoval v souladu s příslušnými zákony, dle dostupných metodik a doporučení příslušných správních orgánů, což je dle jeho názoru dostatečně popisné.

29.         Zadavatel Klatovská nemocnice konstatuje, že je povinen plnit povinnosti stanovené unijní i národní legislativou. Proto na základě „NIS2“ a Varování NÚKIB, s ohledem na délku trvání předmětné veřejné zakázky a dobou udržitelnosti poskytovaného plnění, musel postupovat tak, jak stanoví zadávací podmínky.

30.         Zadavatel Klatovská nemocnice se domnívá, že nevybočil z mezí stanovených ZKB, když tento přímo určuje povinnosti subjektů, konkrétně pak povinnost zohlednit požadavky vyplývající z bezpečnostních opatření při výběru dodavatele pro jejich informační nebo komunikační systém a tyto požadavky zahrnout do smlouvy, kterou s dodavatelem uzavřou. Zohlednění požadavků vyplývajících z bezpečnostních opatření v míře nezbytné pro splnění povinností podle ZKB nelze podle zadavatele Klatovská nemocnice považovat za nezákonné omezení hospodářské soutěže nebo neodůvodněnou překážku hospodářské soutěže. Zadavatel Klatovská nemocnice dodává, že je vázán v rámci tzv. přímého vertikální účinku i NIS a NIS2. V dalším pak zadavatel Klatovská nemocnice odkazuje na článek 85. a 90. preambule NIS2. Zadavatel Klatovská nemocnice rovněž zmiňuje připravovanou NIS2 transpoziční legislativní normu, tj. revizi ZKB, kde se uvádí konkrétní povinnosti poskytovatelů regulované služby v § 24 - Řízení dodavatelů a vztah k zadávání veřejných zakázek:

(1) Poskytovatel regulované služby je povinen zohlednit požadavky vyplývající z bezpečnostních opatření při výběru dodavatele pro svůj stanovený rozsah.

(2) Tam, kde je to možné, je poskytovatel regulované služby povinen zohlednit požadavky vyplývající z bezpečnostních opatření ve smlouvách se svými dodavateli.

(3) Zohlednění požadavků vyplývajících z bezpečnostních opatření při výběru dodavatele v míře nezbytné pro splnění povinností podle tohoto zákona nelze považovat za nezákonné omezení hospodářské soutěže nebo neodůvodněnou překážku hospodářské soutěži.

31.         Zadavatel Klatovská nemocnice se domnívá, že právě z uvedených důvodů vznikla výzva Integrovaného regionálního operačního programu, v rámci které zadavatel žádá o finanční příspěvky a na jejímž základě vypsal i předmětnou veřejnou zakázku.

32.         Zadavatel Klatovská nemocnice sděluje, že jeho analýza rizik vychází z požadavků ZKB, zejména pak VKB a Přílohy č. 2 k VKB a naplňuje požadavky, že je opakovatelná, provádí se pravidelně, nebo při významných změnách a je prováděna odborně způsobilým personálem.

33.         Zadavatel Klatovská nemocnice tak má za prokázané, že plněním povinností stanovených jak současným právním rámcem ČR a EU, tak i připravovaným právním rámcem v ČR nemohl omezit hospodářskou soutěž nad míru nezbytně potřebnou k plnění jeho povinností, když ex lege zohlednění požadavků vyplývajících z bezpečnostních opatření při výběru dodavatele v míře nezbytné pro splnění svých současných i budoucích povinností, které přímo souvisejí s předmětnou veřejnou zakázkou, nelze považovat za nezákonné omezení hospodářské soutěže nebo neodůvodněnou překážku hospodářské soutěže.

34.         Zadavatel Klatovská nemocnice uvádí, že zadavatel stejně jako většina ostatních zdravotnických zařízení spadá pod definici „provozovatele základních služeb“ dle čl. 4 odst. 4 NIS, které mají přímý vertikální či horizontální účinek, tj. v rozsahu nepřiměřené transpozice nahrazují či doplňují legislativu členského státu.

35.         Zadavatel Klatovská nemocnice odkazuje i na konstantní rozhodovací praxi Úřadu, ze které podle něj plyne, že pro posouzení postupu konkrétního zadavatele je zcela irelevantní, zda tento zadavatel je povinen aplikovat příslušná ustanovení ZKB a VKB, či k tomuto kroku přistoupil dobrovolně, nýbrž z hlediska posouzení správnosti postupu zadavatele je rozhodné stanovisko NÚKIB, ze kterého lze usuzovat o tom, zda zadavatel sporné opatření stanovil v souladu s příslušnými ustanoveními ZKB a VKB či nikoliv.

36.         Zadavatel Klatovská nemocnice odmítá domněnku navrhovatele, že zadavatel neprovedl hloubkovou analýzu rizik dle metodiky NÚKIB a podle svého vyjádření je připraven v rámci přezkumu jeho postupu ve správním řízení předmětnou část analýzy rizik poskytnout, a to i k přezkumu ze strany NÚKIB. Zadavatel Klatovská nemocnice v této souvislosti dodává, že v souladu se základní metodikou řízení dodavatelů NÚKIB z 6. 9. 2023 zadávací dokumentace uvádí pouze výsledky hodnocení rizik souvisejících s předmětem plnění, tj. zadávací dokumentace musí obsahovat toliko příslušná bezpečnostní opatření. Zadavatel Klatovská nemocnice dodává, že dle uvedené metodiky je zadavatel povinen dle § 8 odst. 2 písm. a) VKB v rámci zadávacího řízení, před uzavřením smlouvy, provést hodnocení rizik souvisejících s plněním předmětu výběrového řízení.

37.         Zadavatel Klatovská nemocnice má za prokázané, že zadávací dokumentace a stejně tak i celý průběh zadávacího řízení je transparentní, nediskriminační a přiměřený, tedy v souladu s § 6 zákona.

Další průběh správního řízení

38.         Rozhodnutím ze dne 16. 10. 2023 Úřad zamítl návrh navrhovatele na vydání předběžného opatření spočívajícího v uložení zákazu uzavřít smlouvu v zadávacím řízení.

39.         Usnesením ze dne 16. 10. 2023 Úřad zadavateli Klatovská nemocnice stanovil lhůtu k provedení úkonu – podání informace o dalších úkonech, které zadavatel provede v šetřeném zadávacím řízení v průběhu správního řízení, a zaslání příslušné dokumentace pořízené v souvislosti s provedenými úkony.

40.         Usnesením ze dne 20. 10. 2023 Úřad zadavateli Klatovská nemocnice stanovil lhůtu k provedení úkonu – zaslání analýzy rizik, souvisejících s předmětem plnění veřejné zakázky, zpracované dle metodiky NÚKIB.

41.         Dne 27. 10. 2023 obdržel Úřad od zadavatele Klatovská nemocnice přípisy „Analýza rizik zakázky Modernizace ICT pro zvýšení kybernetické bezpečnosti“ a „Evidence aktiv a analýza rizik se zaměřením na varování NUKIB ze dne 17. 12. 2018“. Poněvadž při zadávání šetřené veřejné zakázky zadavatel využil institutu společného zadávání ve smyslu § 7 zákona, přičemž z obsahu předložených dokumentů není zcela zřejmé, zda se tyto vztahují toliko k zadavateli Klatovská nemocnice, či představují analýzu rizik k veřejné zakázce jako celku, určil Úřad z důvodu odstranění jakýchkoli pochybností zadavateli Klatovská nemocnice usnesením ze dne 29. 11. 2023 lhůtu k zaslání vyjádření, ze kterého bude zřejmé, zda předložené dokumenty se vztahují toliko k zadavateli Klatovská nemocnice, či zda posuzují rizika veřejné zakázky jako celku (tzn. lze je vztáhnout též na zadavatele). Zadavatel Klatovská nemocnice se k výše uvedenému usnesení Úřadu vyjádřil přípisem ze dne 1. 12. 2023, ve kterém uvedl, že jím předložené dokumenty se vztahují k veřejné zakázce jako celku, a tudíž předloženou analýzu rizik lze vztáhnout na zadavatele (tj. na všechny zadavatele podílející se na společném zadávání veřejné zakázky).    

42.         Usnesením ze dne 3. 11. 2023 Úřad správní řízení podle § 64 odst. 1 písm. e) správního řádu ve spojení s § 261 odst. 2 zákona přerušil s cílem získat odborné stanovisko, příp. znalecký posudek k zadavatelem poskytnuté analýze rizik, konkrétně k otázce, zda je analýza rizik provedená zadavatelem z formálního a obsahového hlediska v souladu s dotčenými právními předpisy (zejména ZKB a VKB) a obecně platnými a uznávanými standardy v oboru kybernetické bezpečnosti, a pokud ano, zda mohl zadavatel v souladu s dotčenými právními předpisy (zejména ZKB a VKB) a obecně platnými a uznávanými standardy v oboru kybernetické bezpečnosti zvolit v šetřeném případě i jiné technické opatření než opatření spočívající ve vyloučení zařízení uvedených ve varování NÚKIB z plnění veřejné zakázky, resp. zda bylo předmětné bezpečnostní opatření v podobě popsaného opatření zvoleno v souladu s obecně platnými a uznávanými standardy v oboru kybernetické bezpečnosti.

43.         Přípisem ze dne 3. 11. 2023 Úřad požádal NÚKIB o zodpovězení otázky, zda je analýza rizik provedená zadavatelem z formálního a obsahového hlediska v souladu s dotčenými právními předpisy (zejména ZKB a VKB) a obecně platnými a uznávanými standardy v oboru kybernetické bezpečnosti (tj. lege artis), a pokud ano, zda mohl zadavatel v souladu s dotčenými právními předpisy (zejména ZKB a VKB) a obecně platnými a uznávanými standardy v oboru kybernetické bezpečnosti (tj. lege artis) zvolit v šetřeném případě i jiné technické opatření než opatření spočívající ve vyloučení zařízení uvedených ve Varování NÚKIB z plnění veřejné zakázky, resp. zda bylo předmětné bezpečnostní opatření v podobě popsaného opatření zvoleno v souladu s obecně platnými a uznávanými standardy v oboru kybernetické bezpečnosti (tj. lege artis). Z důvodu technických problémů nebyly NÚKIB doručeny přílohy avizované v žádosti, proto Úřad chybějící přílohy NÚKIB zaslal v příloze přípisu ze dne 23. 11. 2023. Přípisem ze dne 7. 12. 2023 Úřad NÚKIB seznámil s obsahem přípisu zadavatele Klatovská nemocnice ze dne 1. 12. 2023, tj. že dle vyjádření zadavatele Klatovská nemocnice se předložené dokumenty týkající se analýzy rizik vztahují k veřejné zakázce jako celku, a tudíž je lze vztáhnout na zadavatele (tj. na všechny zadavatele podílející se na společném zadávání veřejné zakázky).

44.         Rozhodnutím ze dne 11. 1. 2024 Úřad podle § 61 odst. 1 správního řádu nařídil z moci úřední předběžná opatření, jímž zadavatelům (tj. všem zadavatelům podílejícím se na společném zadávání veřejné zakázky) uložil zákaz uzavřít smlouvu v zadávacím řízení na veřejnou zakázku.   

45.         Dne 15. 1. 2024 obdržel Úřad od NÚKIB přípis s názvem „Sdělení k analýze rizik Klatovská nemocnice a spol“ ze dne 9. 1. 2024 (dále jen „stanovisko NÚKIB“).

Stanovisko NÚKIB

46.         NÚKIB ve svém stanovisku uvádí, že vedle žádosti Úřadu o zaslání stanoviska k analýze rizik ze dne 3. 11. 2023 od Úřadu obdržel i dokumenty s názvem „Analýza rizik zakázky Modernizace ICT pro zvýšení kybernetické bezpečnosti“ a „Evidence aktiv a analýza rizik se zaměřením na varování NUKIB ze dne 17. 12. 2018“.

47.         NÚKIB rovněž konstatuje, že v současné době neeviduje, že by zadavatel (respektive některá z osob podílejících se na společném zadávání veřejné zakázky) byla povinnou osobu podle § 3 „ZKB“, neboť NÚKIB dosud nevydal žádné rozhodnutí nebo opatření obecné povahy, kterým by zadavatele určil povinnou osobou podle § 3 ZKB, a žádné takové řízení v současné době ani nevede. NÚKIB tak dospívá k dílčímu závěru, že v současné době zadavatel není povinnou osobou podle § 3 písm. f) ZKB. Výše uvedený dílčí závěr však podle NÚKIB neznamená, že by zadavatel nemohl aplikovat ustanovení ZKB a VKB ve svých strukturách dobrovolně.

48.         NÚKIB dále uvádí: »Zároveň lze také poukázat na novou právní úpravu kybernetické bezpečnosti v České republice. V současné chvíli probíhá legislativní proces návrhu nového zákona o kybernetické bezpečnosti. Ten transponuje směrnici Evropského parlamentu a Rady 2022/255 ze dne 14. 12. 2022, o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii (dále jen „NIS2“). Právě s přicházející regulací dochází ke značnému rozšíření povinných subjektů. V oblasti zdravotnictví pak bude regulovanou službou mj. „poskytování zdravotní péče“. Zadavatel společně s ostatními výše uvedenými subjekty tedy s největší pravděpodobností naplní kritéria pro učení regulované služby. Transpoziční lhůta dle směrnice NIS2 požaduje účinnost nového zákona k 18. říjnu 2024. Poté budou mít subjekty lhůtu jimi poskytované regulované služby identifikovat, provést jejich registraci a zápis do evidence a následně musí začít plnit povinnosti plynoucí za ZKB, včetně toho, že do jednoho roku musí zavádět bezpečnostní opatření. Na základě uvedeného lze tedy konstatovat, že je zcela na místě, aby takové subjekty postupovaly již nyní v souladu s budoucí právní úpravou, jestliže se chtějí vyvarovat následnému nesouladu při zavádění bezpečnostních opatření a plnit povinnosti plynoucí ze ZKB. Jak známo, zadávací řízení na veřejnou zakázku dokáže být zdlouhavým procesem. Zároveň situace, kdy zadavatel vysoutěží něco, co se pro něho stává téměř ihned obsoletním, jde zcela zjevně proti základním principům zadávacího řízení a veřejných zakázek jako takových (zásada hospodárnosti, efektivnosti a účelnosti).«.

49.         Dle NÚKIB výběr konkrétního bezpečnostního opatření, jehož implementace sníží hodnotu rizika na akceptovatelnou úroveň, musí být založen nikoli pouze na samotné analýze rizik (jejímž výsledkem je striktně vzato pouze stanovení hodnoty rizika), nýbrž i na navazujícím vyhodnocení rizik (tedy určení, zda je riziko akceptovatelné či nikoli) a zvážení v úvahu přicházejících bezpečnostních opatření. Postup povinné osoby by přitom podle NÚKIB měl korespondovat s již nastavenými pravidly pro řízení rizik. Pro posouzení správnosti postupu povinné osoby při tvorbě analýzy rizik je kromě jiného nezbytné i posouzení toho, zda celý proces hodnocení rizik, do něhož tvorba analýzy rizik spadá a od jehož zbylých součástí je funkčně neoddělitelná, byl proveden v souladu s metodikou, která byla k tomu účelu vyhotovena.

50.         NÚKIB dodává, že v dokumentech zpracovaných zadavatelem, které mu byly Úřadem předloženy, objevil drobné nesrovnalosti, avšak tyto neměly podle NÚKIB v šetřeném případě vliv na výsledek procesu hodnocení rizik. 

51.         NÚKIB následně dospěl k tomuto závěru: „Předložená dokumentace je jinak srozumitelná, návodná a je z ní zřejmé, jakým způsobem zadavatel při hodnocení rizik a tvorbě posuzované analýzy rizik postupoval. Dílčí nedostatky, která NÚKIB identifikoval, nemohou mít vliv na výsledky procesu hodnocení rizik. Na základě informací obsažených v dokumentech, které byly NÚKIB Vaším úřadem poskytnuty, pak NÚKIB uzavírá, že předložená analýza rizik splňuje požadavky ZKB a VKB a je provedena v souladu s obecně platnými a uznávanými standardy v oboru kybernetické bezpečnosti.

Ke druhá otázce lze uvést, že na základě vysvětlení a doložené analýzy rizik je evidentní, že varianta s použitím technických nebo programových prostředků společnosti Huawei Technologies Co., Ltd., Šen-Čen, Čínská lidová republika, a společnosti ZTE Corporation, Šen-Čen, Čínská lidová republika, přináší pro zadavatele rizika, která není schopen snížit, případně by taková bezpečnostní opatření na snížení těchto rizik přinesla nepřiměřeně vysoké finanční náklady. Předmětné bezpečnostní opatření v podobě stanovené zadávací podmínky se proto jeví jako souladné s obecně platnými a uznávanými standardy v oboru kybernetické bezpečnosti.

Postup zadavatele při hodnocení rizik a při navazujícím výběru bezpečnostního opatření je tedy z pohledu NÚKIB dostatečně zdokumentován a varování NÚKIB ze dne 17. prosince 2018 je správně zapracováno do procesu hodnocení rizik. Z výše uvedených důvodu pak lze postup zadavatele označit za souladný se ZKB a VKB.“.

Další průběh správního řízení

52.         Přípisem ze dne 16. 1. 2024 Úřad účastníkům správního řízení oznámil, že ve správním řízení se pokračuje, jelikož dne 15. 1. 2024 odpadla překážka, pro kterou bylo předmětné správní řízení přerušeno.

53.         Usnesením ze dne 17. 1. 2024 stanovil Úřad účastníkům správního řízení lhůtu, ve které se mohli vyjádřit k podkladům rozhodnutí.

54.         Ve stanovené lhůtě, ani později se žádný z účastníků správního řízení k podkladům rozhodnutí nevyjádřil.

IV.          ZÁVĚRY ÚŘADU

55.         Úřad přezkoumal na základě § 248 a následujících ustanovení zákona případ ve všech vzájemných souvislostech a po zhodnocení všech podkladů, zejména relevantních částí dokumentace o zadávacím řízení, stanoviska NÚKIB a vyjádření předložených účastníky řízení návrh navrhovatele zamítl, neboť nezjistil důvody pro uložení nápravného opatření podle § 263 zákona. Ke svému rozhodnutí Úřad uvádí následující rozhodné skutečnosti.

Relevantní ustanovení zákona a dalších právních předpisů

56.         Podle § 6 odst. 1 zákona musí zadavatel při postupu podle tohoto zákona dodržovat zásady transparentnosti a přiměřenosti.

57.         Podle § 6 odst. 2 zákona musí zadavatel ve vztahu k dodavatelům dodržovat zásadu rovného zacházení a zákazu diskriminace.

58.         Podle § 7 odst. 1 zákona zadavatelé mohou veřejnou zakázku zadat společně. Zadavatel může veřejnou zakázku zadat také společně s osobou, která nemá povinnost postupovat podle zákona.

59.         Podle § 7 odst. 2 zákona před zahájením zadávacího řízení uzavřou osoby, které se budou účastnit společného zadávání, písemnou smlouvu, která upraví jejich vzájemná práva a povinnosti související se zadávacím řízením a stanoví způsob jednání vůči třetím osobám.

60.         Podle § 7 odst. 3 zákona za dodržení zákona odpovídají při společném zadávání zúčastnění zadavatelé společně s výjimkou úkonů, které provádí zúčastněný zadavatel pouze svým jménem a na svůj účet.

61.         Podle § 28 odst. 1 písm. a) zákona se pro účely tohoto zákona rozumí zadávacími podmínkami veškeré zadavatelem stanovené

1.      podmínky průběhu zadávacího řízení,

2.      podmínky účasti v zadávacím řízení,

3.      pravidla pro snížení počtu účastníků zadávacího řízení nebo snížení počtu předběžných nabídek nebo řešení,

4.      pravidla pro hodnocení nabídek,

5.      další podmínky pro uzavření smlouvy na veřejnou zakázku podle § 104 zákona.

62.         Podle § 36 odst. 1 zákona zadávací podmínky nesmí být stanoveny tak, aby určitým dodavatelům bezdůvodně přímo nebo nepřímo zaručovaly konkurenční výhodu nebo vytvářely bezdůvodné překážky hospodářské soutěže.

63.         Podle § 245 odst. 1 zákona zadavatel do 15 dnů od doručení námitek odešle rozhodnutí o námitkách stěžovateli. V rozhodnutí uvede, zda námitkám vyhovuje nebo je odmítá; součástí rozhodnutí musí být odůvodnění, ve kterém se zadavatel podrobně a srozumitelně vyjádří ke všem skutečnostem uvedeným stěžovatelem v námitkách. Pokud zadavatel námitkám vyhoví, sdělí v rozhodnutí současně, jaké provede opatření k nápravě.

64.         Podle § 265 písm. a) zákona Úřad návrh zamítne, pokud nebyly zjištěny důvody pro uložení nápravného opatření.

65.         Podle § 3 ZKB orgány a osobami, kterým se ukládají povinnosti v oblasti kybernetické bezpečnosti, jsou

a)      poskytovatel služby elektronických komunikací a subjekt zajišťující síť elektronických komunikací, pokud není orgánem nebo osobou podle § 3 písm. b) ZKB,

b)      orgán nebo osoba zajišťující významnou síť, pokud nejsou správcem nebo provozovatelem komunikačního systému podle § 3 písm. d) ZKB,

c)      správce a provozovatel informačního systému kritické informační infrastruktury,

d)      správce a provozovatel komunikačního systému kritické informační infrastruktury,

e)      správce a provozovatel významného informačního systému,

f)       správce a provozovatel informačního systému základní služby, pokud nejsou správcem nebo provozovatelem podle § 3 písm. c) nebo d) ZKB,

g)      provozovatel základní služby, pokud není správcem nebo provozovatelem podle § 3 písm. f) ZKB, a

h)      poskytovatel digitální služby.

66.         Podle § 4 odst. 2 ZKB jsou orgány a osoby uvedené v § 3 písm. c) až f) ZKB povinny zavést a provádět bezpečnostní opatření v rozsahu nezbytném pro zajištění kybernetické bezpečnosti informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury, informačního systému základní služby a významného informačního systému a vést o nich bezpečnostní dokumentaci.

67.         Podle § 4 odst. 4 ZKB jsou orgány a osoby uvedené v § 3 písm. c) až f) ZKB povinny zohlednit požadavky vyplývající z bezpečnostních opatření při výběru dodavatele pro jejich informační nebo komunikační systém a tyto požadavky zahrnout do smlouvy, kterou s dodavatelem uzavřou. Zohlednění požadavků vyplývajících z bezpečnostních opatření podle věty první v míře nezbytné pro splnění povinností podle tohoto zákona nelze považovat za nezákonné omezení hospodářské soutěže nebo neodůvodněnou překážku hospodářské soutěži.

68.         Podle § 2 písm. i) VKB se pro účely této vyhlášky rozumí řízením rizik činnost zahrnující hodnocení rizik, výběr a zavedení opatření ke zvládání rizik, sdílení informací o riziku a sledování a přezkoumání rizik.

69.         Podle § 5 odst. 1 písm. a) VKB povinná osoba v rámci řízení rizik v návaznosti na § 4 ZKB stanoví metodiku pro hodnocení rizik, včetně stanovení kritérií pro akceptovatelnost rizik.

Zjištěné skutečnosti

70.         Varování NÚKIB vydané dle § 12 odst. 1 ZKB varuje před použitím technických nebo programových prostředků společnosti Huawei a společnosti ZTE (včetně jejich dceřiných společností), neboť podle NÚKIB představují hrozbu v oblasti kybernetické bezpečnosti.

71.         Z dokumentace o zadávacím řízení na předmětnou veřejnou zakázku, konkrétně z „Vysvětlení zadávací dokumentace“ ze dne 18. 8. 2023 vyplývá, že zadavatel změnil zadávací podmínky následujícím způsobem:

„Dále zadavatel z vlastní vůle doplňuje Zadávací dokumentaci o následující znění:

Zadavatel konstatuje, že tato veřejná zakázka je součástí projektů specifikovaných v kapitole 2.1. Zadávací dokumentace. Cílem tohoto projektu je zabezpečení IT prostředí, IS a KS Zadavatele v souladu se standardy kybernetické bezpečnosti podle zákona č. 181/2014 Sb. o kybernetické bezpečnosti, ve znění pozdějších předpisů (dále jen „ZKB“) a podle hlavy II, vyhlášky č. 82/2018 Sb. o kybernetické bezpečnosti (dále jen „Vyhlášky“).

Zadavatel tímto upozorňuje účastníky, že realizoval analýzu rizik v souladu se ZKB a Vyhlášky, a že vyhodnotil rizika spojená s předmětem plnění ve smyslu § 37 ZZVZ a povinností vyplývajících ze ZKB a stanovit bezpečnostní požadavky na dodavatele podle § 5 odst. 2 písm. e) ZKB.

Zadavatel na základě provedené analýzy rizik a plnění svých povinností vyplývajících ze ZKB a ve smyslu §§ 37 a 89 ZZVZ požaduje, aby dodavatelé nenabízeli předmět plnění výrobců Huawei Technologies Co., Ltd., Šen-čen, Čínská lidová republika, a ZTE Corporation, Šen-Čen, Čínská lidová republika, vůči kterým bylo vydáno varování Národního Úřadu pro Kybernetickou a Informační Bezpečnost ze dne 17. 12. 2018. Dodavatel, který nabídne předmět plnění výše uvedených výrobců, bude ze zadávacího řízení vyloučen.

Dodavatel se zavazuje nabídnout zadavateli předmět plnění, který je v souladu s právními předpisy ČR a EÚ, zejména s ZKB.“.

Právní posouzení

K argumentaci navrhovatele, že se zadavatel Klatovská nemocnice v rozhodnutí o námitkách nevypořádal se všemi jeho námitkami 

72.         Navrhovatel v návrhu namítá, že se zadavatel Klatovská nemocnice dostatečně nevypořádal s jeho námitkami. Konkrétně uvádí, že se zadavatel Klatovská nemocnice obecnou odpovědí v rozhodnutí o námitkách věcně nevypořádal s argumenty navrhovatele týkajícími se vyloučení plnění nabízeného navrhovatelem, neboť toto řešení představuje hrozbu dle ZKB a VKB. Navrhovatel konkretizuje, že zadavatel Klatovská nemocnice na jedné straně svojí argumentací vylučuje domněnku navrhovatele, že by neprovedl analýzu rizik dle metodiky NÚKIB a zároveň na druhé straně tuto analýzu rizik navrhovateli neposkytuje. Navrhovatel tak podle svého vyjádření nemůže ověřit tvrzení zadavatele Klatovská nemocnice o dodržení jeho postupu dle metodiky NÚKIB. Z uvedeného důvodu navrhovatel v rozhodnutí o námitkách postrádá věcný podklad, na základě kterého zadavatel Klatovská nemocnice stanovil namítanou zadávací podmínku. Navrhovatel podle svého vyjádření postrádá předmětnou analýzu rizik, která by při splnění striktně stanovených podmínek mohla namítaný postup zadavatele validovat, avšak její absence podle názoru navrhovatele nemůže rozptýlit jeho oprávněné obavy týkající se zákonnosti postupu zadavatele.

73.         S ohledem na tvrzení navrhovatele přistoupil Úřad k posouzení toho, zda rozhodnutí o námitkách obstojí v testu zákonnosti ve smyslu § 245 odst. 1 zákona, tedy, zda se zadavatel v rozhodnutí o námitkách vyjádřil podrobně a srozumitelně ke všem skutečnostem tvrzeným v námitkách, a zda je tak rozhodnutí o námitkách přezkoumatelné.

74.         V obecné rovině Úřad uvádí, že námitky jako procesní institut představují primární ochranu dodavatelů před nezákonným postupem zadavatele. Jsou-li námitky podány, je zadavatel povinen v rozhodnutí o nich uvést, zda námitkám vyhovuje nebo je odmítá, a své rozhodnutí odůvodnit v souladu se zásadou transparentnosti (§ 6 odst. 1 zákona) tak, aby bylo zpětně přezkoumatelné. Úřad v této souvislosti odkazuje na ustálenou judikaturu (např. rozsudek Nejvyššího správního soudu ze dne 15. 9. 2010 č. j. 1 Afs 45/2010 – 159), podle které požadavek transparentnosti „(…) není splněn tehdy, pokud jsou v zadavatelově postupu shledány takové prvky, jež by zadávací řízení činily nekontrolovatelným, hůře kontrolovatelným, nečitelným a nepřehledným nebo jež by vzbuzovaly pochybnosti o pravých důvodech jednotlivých kroků zadavatele.“. Tato povinnost zadavatele, dovoditelná již ze samotných zásad zadávání veřejných zakázek, je v § 245 odst. 1 zákona zdůrazněna výslovným požadavkem, aby se zadavatel v rozhodnutí o námitkách podrobně a srozumitelně vyjádřil ke všem skutečnostem v nich uvedeným.

75.         Namítané argumentaci zadavatele v rozhodnutí o námitkách předcházelo podrobné obecné odůvodnění použití předmětné zadávací podmínky, kde zadavatel mj. uvádí, že namítanou zadávací podmínku stanovil z důvodu, že na něj doléhají povinnosti stanovené v NIS a zejména pak v NIS2, jejíž implementace do českého právního řádu se aktuálně připravuje a z ní vyplývající povinnosti se podle zadavatele promítnou do průběhu plnění šetřené veřejné zakázky. Tudíž podle názoru zadavatele zohlednění požadavků při výběru dodavatele vyplývající z bezpečnostních opatření při výběru dodavatele v míře nezbytné pro splnění jeho povinností nelze považovat za nezákonné omezení hospodářské soutěže nebo za nedůvodnou překážku hospodářské soutěže.

76.         K vlastní namítané argumentaci navrhovatele zadavatel v rozhodnutí o námitkách výslovně uvedl: »Zadavatel dále vylučuje domněnku stěžovatele, že neprovedl hloubkovou analýzu rizik dle metodiky NÚKIB. Zadavatel je připraven v rámci případného přezkumu ze strany ÚOHS komplexní analýzu rizik v rámci správního řízení poskytnout, a to i k přezkumu ze strany NÚKIB, zdali zadavatel postupoval lege artis. V souladu se základní metodikou řízení dodavatelů NÚKIB z 6. září 2023, „zadávací dokumentace uvádí pouze výsledky hodnocení rizik souvisejících s předmětem plnění“, tj. zadávací dokumentace musí toliko obsahovat pouze příslušná bezpečnostní opatření.«.         

77.         Úřad uvádí, že na základě výše uvedeného je zřejmé, že zadavatel Klatovská nemocnice předmětné námitky navrhovatele vyřídil. Z rozhodnutí o námitkách mj. jednoznačně vyplývá, z jakých důvodů zadavatel namítanou zadávací podmínku v zadávacích podmínkách stanovil. Z rozhodnutí o námitkách rovněž plyne, že zadavatel je přesvědčen o tom, že analýzu rizik je zapotřebí předložit v případě přezkumu jeho postupu Úřadem ve správním řízení, respektive při přezkumu jeho postupu ze strany NÚKIB. Naopak zadavatel zastává názor, že analýzu rizik není zapotřebí poskytovat v rámci zadávacího řízení, kdy svůj názor podle svého vyjádření opírá o základní metodiku NÚKIB, ze které podle něj plyne, že zadávací dokumentace musí obsahovat pouze konkrétní bezpečnostní opatření k zamezení či eliminaci rizik vyplývající z analýzy rizik, nikoliv však již samotnou analýzu rizik. Skutečnost, že zadavatel nahlíží na „povinnost“ poskytnout analýzu rizik účastníkům řízení v rámci zadávacího řízení (a to i v rámci námitkového řízení) odlišným způsobem než navrhovatel, který striktně požaduje zpřístupnění předmětné analýzy rizik v rámci zadávacího řízení, nelze považovat za nevypořádání námitky navrhovatele. Prakticky lze konstatovat, že předmětnou námitku navrhovatele zadavatel vypořádal, avšak odlišným způsobem, než jak požadoval navrhovatel ve svých námitkách. Z odůvodnění rozhodnutí o námitkách je tak nade vši pochybnost zřejmé, z jakého důvodu zadavatel spornou zadávací podmínku stanovil i z jakého důvodu a na základě jakých úvah zadavatel již v rámci zadávacího řízení neposkytl analýzu rizik požadovanou navrhovatelem. Zadavatel tak přezkoumatelným a odůvodněným způsobem rozhodl o námitkách navrhovatele. Lze tak konstatovat, že v celkovém kontextu rozhodnutí o námitkách navrhovatel obdržel odpovědi na všechna jeho tvrzení uvedená v této námitce (viz rozhodnutí předsedy Úřadu sp. zn. ÚOHS-R0205/2019/VZ, č. j. ÚOHS-01903/2020/323/VVá ze dne 17. 1. 2020).

78.         Úřad v této souvislosti odkazuje na pasáž v již výše zmíněném rozhodnutí předsedy Úřadu sp. zn. ÚOHS-R0205/2019/VZ, č. j. ÚOHS-01903/2020/323/VVá ze dne 17. 1. 2020, v níž předseda Úřadu uvedl: „Není možné a především není účelné vyžadovat po zadavateli, aby větu od věty a slovo od slova vypořádával často velmi obsáhle podané námitky zadavatele, pokud mu dá v celkovém kontextu odpovědi na všechny jeho námitky, přičemž vyvrátí nebo potvrdí jeho úmysl zahájit správní řízení. (…) Opakuji tedy, že ač je samozřejmě po zadavateli nutno požadovat vyjádření ke všem navrhovatelovým námitkám, není účelem institutu námitek a rozhodnutí o nich, zahlcovat zadavatele rozsáhlými podáními, na jejichž každou větu by bylo nutné podrobně odpovídat. Takový postup by byl absurdní, zneužitelný a byl by v rozporu jak se smyslem institutu námitek, tak se zásadami zadávání veřejných zakázek.“.

79.         K právě uvedenému Úřad poznamenává, že výše uvedená argumentace předsedy se vztahuje obzvlášť na situace, kdy obecně námitky navrhovatele obsahují velké množství námitkové argumentace a podané námitky jsou obsahově velmi rozsáhlé, čemuž tak nepochybně bylo i v šetřeném případě. Úřad při posuzování vyřízení námitek zadavatelem Klatovská nemocnice v šetřeném případě přihlédl i k té skutečnosti, že se zadavatel musel místy vypořádávat s argumentací navrhovatele obsahující čistě subjektivní názory navrhovatele, čemuž odpovídá i vyřízení námitek zadavatelem Klatovská nemocnice, což je právě případ námitky, kterou navrhovatel považuje za nedostatečně vyřízenou. Úřad posoudil rozhodnutí o námitkách navrhovatele a dospěl k závěru, že se zadavatel Klatovská nemocnice vyjádřil ke skutečnému obsahu jednotlivých námitek, a tyto tak ve svém souhrnu v souladu se zákonem i vypořádal.

80.         S ohledem na výše uvedené Úřad k dané otázce uzavírá, že v šetřeném případě došlo ze strany zadavatele k vypořádání námitek v souladu se zákonem, pročež neshledal důvody pro uložení nápravného opatření podle § 263 odst. 5 zákona.

K údajnému nezákonnému stanovení napadené zadávací podmínky

81.         Navrhovatel ve svém návrhu brojí proti stanovení zadávacích podmínek. Konkrétně je navrhovatel přesvědčen o tom, že když zadavatel vysvětlením zadávací dokumentace ze dne 18. 8. 2023 doplnil zadávací dokumentaci pro všechny části veřejné zakázky o podmínku, že zadavatel na základě provedené analýzy rizik a plnění svých povinností vyplývajících ze ZKB a ve smyslu § 37 a § 89 zákona požaduje, aby dodavatelé nenabízeli předmět plnění výrobců Huawei a ZTE, vůči kterým bylo vydáno varování NÚKIB, neboť dodavatel, který nabídne předmět plnění výše uvedených výrobců, bude ze zadávacího řízení vyloučen, postupoval v rozporu se zákonem, protože daná zadávací podmínka je stanovena v rozporu se základními zásadami zadávacího řízení stanovenými v § 6 zákona a je také v rozporu s § 36 odst. 1 zákona, neboť tímto postupem dochází omezení hospodářské soutěže.

82.         K tomu Úřad předně v obecné rovině uvádí, že zadávací dokumentace veřejné zakázky, kterou se dle § 28 odst. 1 písm. b) zákona rozumí veškeré písemné dokumenty obsahující zadávací podmínky, sdělované nebo zpřístupňované účastníkům zadávacího řízení při zahájení zadávacího řízení, včetně formulářů podle § 212 zákona a výzev uvedených v příloze č. 6 k zákonu, musí zpravidla obsahovat veškeré zadávací podmínky (v zadávacích řízeních umožňujících jednání mohou být účastníkům zadávacího řízení zadávací podmínky sdělovány také v rámci jednání, kdy dochází k postupnému upřesňování požadavků zadavatele na plnění nabízeného dodavateli), a je tak klíčovým zdrojem informací, na jejichž základě zvažují dodavatelé svoji účast v zadávacím řízení a zpracovávají své nabídky. Dle § 36 odst. 1 zákona je zadavatel v souladu mj. se zásadou zákazu diskriminace zakotvenou v § 6 odst. 2 zákona povinen stanovit zadávací podmínky takovým způsobem, aby určitým dodavatelům bezdůvodně přímo nebo nepřímo nezaručovaly konkurenční výhodu nebo nevytvářely bezdůvodné překážky hospodářské soutěže. Veškeré požadavky tak musí vždy vycházet z objektivně zdůvodnitelných potřeb zadavatele. I při existenci konkrétní potřeby zadavatele, na základě které zadavatel specifikuje určitou poptávanou technologii, technický parametr výrobku, práce nebo poptávané služby, kterým provádí kvalitativní vymezení předmětu veřejné zakázky, musí zadavatel dodržet základní zásady zadávacího řízení, jež nachází své vyjádření v § 6 zákona, a to zásady transparentnosti, nediskriminace, přiměřenosti a rovného zacházení. Zadavatel nastavením zadávacích podmínek (zejm. nastavením parametrů předmětu plnění, nastavením požadavků na kvalifikaci a kritérií hodnocení) vytváří z povahy věci jistou nerovnováhu mezi dodavateli, tzn. zadávací podmínky nemají na všechny dodavatele stejný dopad. K omezení okruhu potenciálních dodavatelů však nesmí docházet bezdůvodně, tj. musí být především odůvodněno legitimními potřebami zadavatele, a nikoli právě snahou o omezení hospodářské soutěže či o zaručení konkurenční výhody pro určitý okruh dodavatelů (v této souvislosti lze odkázat např. rozsudek Krajského soudu v Brně č. j. 30 Af 81/2013-77 ze dne 7. 12. 2015 potvrzený rozsudkem Nejvyššího správního soudu č. j. 7 As 7/2016-44 ze dne 11. 2. 2016).

83.         Problematiku povinnosti dodržování zásady zákazu diskriminace řeší např. rozsudek Nejvyššího správního soudu č. j. 1 Afs 20/2008-152 ze dne 5. 6. 2008, ze kterého vyplývá, že smysl § 6 zákona „(…) v prvé řadě směřuje k cíli samotného zákona o veřejných zakázkách, kterým je zajištění hospodárnosti, efektivnosti a účelnosti nakládání s veřejnými prostředky. Zákon tohoto cíle dosahuje především vytvářením podmínek pro to, aby smlouvy, jejichž plnění je hrazeno z veřejných prostředků, byly zadavateli uzavírány při zajištění hospodářské soutěže a konkurenčního prostředí mezi dodavateli (…).“. Dále Nejvyšší správní soud zdůraznil, že „smysl a cíl zákazu diskriminace nutně vede interpreta § 6 ZVZ k závěru, že tento zákaz zahrnuje jednak zákaz diskriminace zjevné, tedy odlišného zacházení s jednotlivcem ve srovnání s celkem, jednak též zákaz diskriminace skryté, pokud tato vede v podstatě k obdobným právem zakázaným důsledkům (v oblasti práva veřejných zakázek tedy poškozování hospodářské soutěže a konkurenčního prostředí mezi dodavateli).“. Při zkoumání toho, zda zadavatel neporušil zásadu zákazu diskriminace tím, jakým způsobem vymezil předmět veřejné zakázky, je nicméně nutné, i s ohledem na závěry vyplývající z výše citované judikatury, poskytnout prostor pro legitimní ekonomickou a technickou úvahu zadavatele. Z uvedeného plyne, že pokud jde o stanovení zadávacích podmínek, shledání jejich diskriminační (a tedy nezákonné) povahy je možné pouze za předpokladu, že jsou tyto podmínky vymezeny skutečně excesivně, tj. tehdy, když jsou nepřiměřené ve vztahu k legitimním důvodům, které zadavatele k jejich stanovení vedly, jinými slovy jasně vybočují z odůvodněných potřeb zadavatele. Přitom je nutné vzít v úvahu všechny okolnosti daného případu. V této souvislosti lze – z hlediska neurčitého právního pojmu „zjevná nepřiměřenost“ – opětovně citovat ze zmíněného rozsudku Nejvyššího správního soudu, v němž daný soud konstatoval, že „[k]líčovým problémem takto pojaté skryté diskriminace je tedy ‚zjevná nepřiměřenost‘ kvalifikačních předpokladů ve vztahu ke konkrétní veřejné zakázce. Tato zjevná nepřiměřenost není vymezitelná žádnou obecnou floskulí, nýbrž je nutno ji vykládat vždy se zřetelem na individuální kauzu. (…) V každém případě musí správní soudy při aplikaci kritéria ‚zjevné nepřiměřenosti‘ poskytnout prostor pro legitimní ekonomickou úvahu zadavatele, a tedy shledání skryté diskriminace je přípustné tam, kde kvalifikační předpoklady jsou vskutku excesivní a jasně vybočují z oprávněných potřeb dané zakázky (…).“. Byť se uvedené závěry obsažené v citovaném rozsudku vztahují k předchozí právní úpravě, jsou dle názoru Úřadu plně aplikovatelné i ve vztahu k nyní účinné právní úpravě zadávání veřejných zakázek, neboť přijetí nové právní úpravy nikterak nepozměnilo smysl základních zásad. Úřad si je vědom, že závěry soudu se vztahují ke stanovení požadavků na prokázání splnění kvalifikace dodavateli, nicméně již s ohledem na „univerzálnost“ (ve smyslu jejich dopadu na celé zadávací řízení) zásad zadávání veřejných zakázek je zcela nepochybné, že tyto úvahy lze – tak, jak to učinil Úřad výše – aplikovat i ve vztahu ke stanovení ostatních zadávacích podmínek zadavatelem, a to včetně napadené zadávací podmínky.

84.         V dalším se tedy Úřad zabýval tím, zda zadavatel při stanovení zadávacích podmínek (napadené zadávací podmínky) neporušil navrhovatelem uváděnou zásadu zákazu diskriminace stanovenou v § 6 odst. 2 zákona či zda neporušil související ustanovení § 36 odst. 1 zákona, dle kterého zadávací podmínky nesmí být stanoveny tak, aby určitým dodavatelům bezdůvodně přímo či nepřímo zaručovaly konkurenční výhodu nebo vytvářely bezdůvodně překážky hospodářské soutěže.

85.         Obecně platí, že zadavatel je povinen vymezit předmět veřejné zakázky v zadávací dokumentaci natolik určitě a srozumitelně, aby všichni dodavatelé měli k dispozici dostatek relevantních informací pro sestavení své nabídky a pro to, aby měli představu, jakým způsobem budou jejich nabídky hodnoceny, avšak současně je povinen předmět plnění popsat pomocí dostatečně objektivizovaných parametrů, které nepovedou ke zvýhodnění konkrétních dodavatelů nebo výrobků, či naopak nebudou některé dodavatele nebo výrobky z účasti v zadávacím řízení nedůvodně vylučovat.

86.         Úřad nejprve uvádí, že jádro sporu spočívá v oprávněnosti stanovení napadené zadávací podmínky, která pro plnění předmětu veřejné zakázky vylučuje možnost použití řešení nabízeného dodavateli Huawei a ZTE, a to z důvodu bezpečnostní hrozby v oblasti kybernetické bezpečnosti, kdy navrhovatel předmětnou podmítku považuje za diskriminační a stanovenou v rozporu se základními zásadami zadávacího řízení stanovenými v § 6 zákona a rovněž tak i za bezdůvodnou překážku hospodářské soutěže ve smyslu § 36 odst. 1 zákona.

87.         V šetřeném případě bude pro posouzení zákonnosti postupu zadavatele při stanovení zadávacích podmínek rozhodné, zda napadená zadávací podmínka, tak jak byla stanovena zadavatelem, nevytváří bezdůvodně překážky hospodářské soutěže (popř. bezdůvodně přímo nebo nepřímo nezaručuje konkurenční výhodu určitému dodavateli nebo okruhu dodavatelů).

88.         Úřad v tomto ohledu akcentuje skutečnost, že je to právě zadavatel, který nejlépe zná svoji potřebu spočívající v modernizaci ICT, a to se zaměřením na zvýšení kybernetické bezpečnosti.  Zadavatel je rovněž osobou, která je oprávněna stanovit zadávací podmínky tak, aby plnění vzešlé z předmětného zadávacího řízení bylo schopné zajistit pro něj nezbytné potřeby. Zadavatel je však i osobou, která nese plnou odpovědnost za stanovení zadávacích podmínek, včetně toho, že zadávací podmínky nebudou bezdůvodně klást překážky dodavatelům, nebudou bezdůvodně „protežovat“ konkrétního dodavatele nebo okruh dodavatelů, budou transparentní a nediskriminační a nebudou jakýmkoli způsobem (a to jak přímo, tak skrytě) neodůvodněně omezovat hospodářskou soutěž mezi uchazeči o předmětnou veřejnou zakázku.

89.         K výše uvedenému lze nad rámec uvedeného doplnit, že veškeré požadavky na předmět plnění zadavatel stanoví na základě svých potřeb s ohledem na poptávané plnění. Veškeré požadavky však musí vždy vycházet z objektivně zdůvodnitelných potřeb zadavatele. Obecně je třeba ve vztahu k procesu zadávání veřejných zakázek konstatovat, že v zadávacím řízení lze ve své podstatě každou zadávací podmínku či požadavek zadavatele považovat
za do určité míry limitující a omezující. Zadavatel je však v případě, že klade na dodavatele (účastníky) určitá omezení – požadavky na dodávané plnění, vázán jednotlivými zákonnými ustanoveními, stejně tak pak je povinen reflektovat ve vztahu ke všem jeho úkonům, tedy i nastavení zadávacích podmínek, ustanovení § 6 zákona, v němž jsou vyjádřeny základní zásady zadávacího řízení. Jinak řečeno zadávací podmínky sice mohou pro určité dodavatele skýtat výhodu, avšak nesmí tomu tak být bezdůvodně, tj. tato výhoda musí být odůvodněna, resp. vycházet z konkrétních logických úvah a potřeb zadavatele a musí pro ni existovat objektivní příčiny.

90.         V souvislosti s problematikou stanovení zadávacích podmínek v návaznosti na potřeby zadavatele lze odkázat například na rozsudek Krajského soudu v Brně č. j. 31 Af 3/2015-29 ze dne 19. 12. 2016, v němž se uvedený soud vyjádřil následovně: „Předně soud považuje za nutné konstatovat, že každý zadavatel při zadávání veřejné zakázky reaguje na svoji potřebu a k té samozřejmě směřuje svou snahu o uzavření smlouvy prostřednictvím veřejné zakázky. Podle názoru soudu je naprosto v pořádku, pokud zadavatel reaguje vypsáním zakázky na svoji vzniklou potřebu řešení určité situace. Z povahy věci tak samotná potřeba zadavatele v sobě implikuje omezení pro její řešení, neboť určité zájmy zadavatelů v sobě implikují pouze limitní množství řešitelů.“ Dále lze odkázat například na rozsudek Nejvyššího správního soudu č. j. 9 Afs 87/2008-81 ze dne 9. 7. 2009, v němž uvedený soud konstatoval, že „[p]ředmět veřejné zakázky vychází z potřeb zadavatele a může mít nejrůznorodější charakter daný jeho věcným obsahem, potřebami zadavatele, jeho finančními možnostmi, apod.“.

91.         Úřad se při posuzování věci zaměřil na navrhovatelem vytýkané skutečnosti, které uvádí jak ve svých námitkách, tak následně i v návrhu, a to že zadavatel v zadávacích podmínkách stanovil napadenou zadávací podmínku, která navrhovatele (dle jeho názoru) bezdůvodně vylučuje z účasti v zadávacím řízení, a to v celém rozsahu, kdy navrhovatel je přesvědčen o tom, že zadavatel měl možnost použít méně omezující řešení, a to při akceptovatelné úrovni rizika pro zadavatele. K tomu Úřad uvádí následující.

92.         V prvé řadě je třeba mít na mysli, že případnou akceptovatelnou úroveň rizika nemůže stanovovat dodavatel, který má svůj vlastní zájem na profitu vyplývajícího z plnění předmětu veřejné zakázky (natož pak osoba nebo její dceřiná společnost, vůči které hrozba definovaná NÚKIB primárně směřuje), nýbrž výlučně zadavatel, který jako jediný nejlépe zná svoje potřeby, ale i rizika spojená s předmětnou hrozbou. Na druhou stranu platí, že ačkoliv je to zadavatel, který primárně stanoví zadávací podmínky podle svých interních potřeb, nepochybně platí, že zadávací podmínky nemohou být stanoveny zcela libovolně, nýbrž v souladu s tím, co stanoví zákon, kdy v oblasti kybernetické bezpečnosti k tomu navíc přistupuje i legislativa a postupy týkající se této oblasti, a to včetně ZKB a VKB, varování NÚKIB nevyjímaje.  

93.         Úřad uvádí, že si je vědom toho, že napadená zadávací podmínka je striktní a v plném rozsahu vylučuje participaci řešení Huawei a ZTE na plnění předmětu veřejné zakázky, byť i jeho dílčích částí. Není tedy jakýchkoli pochyb, že napadená zadávací podmínka se bytostně týká všech dodavatelů, kteří by k plnění předmětu veřejné zakázky nebo jeho dílčích částí chtěli využít technologii některé z výše uvedených společností, což pro takového dodavatele může znamenat např. komplikace spojené se zvýšením nákladů při hledání nového poddodavatele, respektive nemožnost účastnit se šetřeného zadávacího řízení, pokud dodavatel je vázán na technologii ZTE, respektive Huawei (což může být i případ navrhovatele).

94.         Napadená zadávací podmínka tedy nepochybně zvýhodňuje ty dodavatele, kteří pro plnění předmětu veřejné zakázky nepředpokládali využití technických a programových prostředků společností Huawei a ZTE. Je zcela zřejmé, že napadená zadávací podmínka rovněž omezuje hospodářskou soutěž mezi dodavateli. Klíčovou otázkou tak je, zda stanovení napadené zadávací podmínky zadavatelem je důvodné a obhajitelné či zda neexistují relevantní důvody, které by stanovení napadené zadávací podmínky mohly obhájit. Jak vyplývá z argumentace zadavatele Klatovská nemocnice k návrhu, zadavatel stanovil napadenou zadávací podmínku výhradně za účelem splnění svých povinností, a to v návaznosti na varování NÚKIB (viz body 29. až 35. odůvodnění tohoto rozhodnutí). V této souvislosti Úřad poukazuje na skutečnost, že ustanovení § 4 odst. 4 ZKB povinným osobám výslovně stanovuje povinnost zohlednit požadavky vyplývající z bezpečnostních opatření při výběru dodavatele pro informační nebo komunikační systém. Pokud se pak zadavatel, který podle stávající právní úpravy povinnou osobu podle ZKB není, dobrovolně (případně s ohledem na připravovanou legislativu, která se jej bude zřejmě bezprostředně týkat) hodlá postupy stanovenými pro povinné subjekty řídit, lze tento postup považovat za zcela logický a dle názoru Úřadu mu lze takto odpovědné jednání těžko jakkoli vyčítat. V takovém případě pak stanovení požadavků pro zajištění kybernetické bezpečnosti nelze a priori považovat za nezákonné omezení hospodářské soutěže (nedůvodnou překážku hospodářské soutěže), je však nezbytné posoudit, zda tyto požadavky byly stanoveny v souladu se ZKB, VKB a varováním NÚKIB a zda byla hospodářská soutěž za tímto účelem omezena jen v míře nezbytné pro zajištění odpovídající kybernetické bezpečnosti zadavatele. Z uvedeného důvodu se tak Úřad při posuzování toho, zda napadená zadávací podmínka byla stanovena v rozporu s § 6 zákona, respektive v rozporu s § 36 odst. 1 zákona, zabýval tím, zda tato zadávací podmínka byla stanovena v souladu se ZKB, VKB a s varováním NÚKIB, přičemž na tomto místě předesílá, že své posouzení staví zejména na odborném vyjádření, které mu na jeho žádost poskytl věcně příslušný ústřední orgán státní správy pro oblast kybernetické bezpečnosti, tj. NÚKIB (viz body 46. až 51. odůvodnění tohoto rozhodnutí).

95.         NÚKIB ve svém stanovisku ze dne 9. 1. 2024 výslovně uvedl, že analýza rizik zpracovaná zadavatelem, kterou mu Úřad předložil k posouzení, splňuje požadavky ZKB a VKB a byla zpracována v souladu s obecně platnými a uznávanými standardy v oboru kybernetické bezpečnosti.

96.         Závěr NÚKIB v předmětném stanovisku, a to že postup zadavatele při hodnocení rizik a při navazujícím výběru bezpečnostního opatření je z pohledu NÚKIB dostatečně zdokumentován, varování NÚKIB je správně zapracováno do procesu hodnocení rizik, a tudíž postup zadavatele lze označit za souladný se ZKB a VKB, značí, že napadená zadávací podmínka byla v šetřeném případě stanovena v souladu se zákonem. Ačkoliv tedy napadená zadávací podmínka znamená zásadní omezení pro konkrétní okruh dodavatelů, který by pro plnění předmětu veřejné zakázky hodlal použít technických a programových prostředků společnosti Huawei, respektive ZTE, toto omezení bylo učiněno z důvodu kybernetické bezpečnosti a je v souladu se ZKB, VKB i s varováním NÚKIB. Stanovením napadené zadávací podmínky tak zadavatel neporušil zásadu rovného zacházení, zásadu zákazu diskriminace stanovené v § 6 odst. 2 zákona, zásadu přiměřenosti stanovenou v § 6 odst. 1 zákona ani neporušil ustanovení § 36 odst. 1 zákona, neboť omezení hospodářské soutěže spojené s napadenou zadávací podmínkou není bezdůvodné a samoúčelné, nýbrž je výlučně spojeno se zajištěním kybernetické bezpečnosti ICT zadavatele, což je mj. zdůrazněno i v samotném názvu šetřené veřejné zakázky.

97.         K argumentaci navrhovatele, že zadavatel není povinným subjektem dle ZKB, z čehož navrhovatel dovozuje, že zadavatel není vázán povinnostmi dle ZKB, VKB a varováním NÚKIB, Úřad opětovně uvádí, že obecně platí, že z hlediska posouzení správnosti postupu zadavatele není rozhodující, zda zadavatel je povinným subjektem dle ZKB či zda k aplikaci ustanovení ZKB a VKB ve svých strukturách přistupuje dobrovolně (a to např. z důvodu, že na něj v brzké budoucnosti s nejvyšší pravděpodobností dopadne připravovaná legislativa), nýbrž toliko ta skutečnost, zda jeho postup je či není v souladu se ZKB a VKB, respektive s varováním NÚKIB. V této souvislosti Úřad může odkázat na svoji rozhodovací praxi (viz např. rozhodnutí sp. zn. ÚOHS-S0196/2022/VZ, č. j. ÚOHS-29271/2022/500 ze dne 25. 8. 2022). Úřad v neposlední řadě odkazuje i na vyjádření NÚKIB, ve kterém s ohledem na připravovanou změnu legislativy v oblasti kybernetické bezpečnosti a k očekávanému rozšíření povinných subjektů doporučuje, aby tyto subjekty očekávané změny ve svých zadávacích řízeních předem zohlednily, když výslovně uvádí: »Zároveň lze také poukázat na novou právní úpravu kybernetické bezpečnosti v České republice. V současné chvíli probíhá legislativní proces návrhu nového zákona o kybernetické bezpečnosti. Ten transponuje směrnici Evropského parlamentu a Rady 2022/255 ze dne 14. 12. 2022, o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti v Unii (dále jen „NIS2“). Právě s přicházející regulací dochází ke značnému rozšíření povinných subjektů. V oblasti zdravotnictví pak bude regulovanou službou mj. „poskytování zdravotní péče“. Zadavatel společně s ostatními výše uvedenými subjekty tedy s největší pravděpodobností naplní kritéria pro učení regulované služby. Transpoziční lhůta dle směrnice NIS2 požaduje účinnost nového zákona k 18. říjnu 2024. Poté budou mít subjekty lhůtu jimi poskytované regulované služby identifikovat, provést jejich registraci a zápis do evidence a následně musí začít plnit povinnosti plynoucí za ZKB, včetně toho, že do jednoho roku musí zavádět bezpečnostní opatření.

Na základě uvedeného lze tedy konstatovat, že je zcela na místě, aby takové subjekty postupovaly již nyní v souladu s budoucí právní úpravou, jestliže se chtějí vyvarovat následnému nesouladu při zavádění bezpečnostních opatření a plnit povinnosti plynoucí ze ZKB. Jak známo, zadávací řízení na veřejnou zakázku dokáže být zdlouhavým procesem. Zároveň situace, kdy zadavatel vysoutěží něco, co se pro něho stává téměř ihned obsoletním, jde zcela zjevně proti základním principům zadávacího řízení a veřejných zakázek jako takových (zásada hospodárnosti, efektivnosti a účelnosti).«.

98.         Rovněž je třeba odmítnout argumentaci navrhovatele týkající se údajné netransparentnosti zadávacího řízení odporující § 6 odst. 1 zákona, která podle navrhovatele spočívá v tom, že napadená podmínka zcela vylučuje technické a programové prostředky společností Huawei a ZTE a na základě zadávacích podmínek nebylo možné přezkoumat, zda zadavatel nemohl uplatnit jiné, méně omezující opatření. K tomu Úřad uvádí, že posouzení adekvátnosti napadené podmínky z pohledu kybernetické bezpečnosti nemusí vyplývat ze zadávací dokumentace. Předmětná podmínka musí být z pohledu kybernetické bezpečnosti vyhodnocena v rámci analýzy rizik, která naplňuje požadavky ZKB a VKB a je provedena v souladu s obecně platnými a uznávanými standardy v oboru kybernetické bezpečnosti. Přezkoumání analýzy rizik je pak možné v řízení před Úřadem, přičemž je zřejmé, že takové přezkoumání nebude nikdy provádět Úřad sám, protože nedisponuje příslušnými odbornými znalostmi, ale obrátí se na příslušný ústřední orgán státní správy - NÚKIB. V této souvislosti Úřad uvádí, že ze stanoviska NÚKIB jednoznačně vyplývá, že použití technických nebo programových prostředků společnosti Huawei a ZTE „přináší pro zadavatele rizika, která není schopen snížit, případně by taková bezpečnostní opatření na snížení těchto rizik přinesla nepřiměřeně vysoké finanční náklady“. Z uvedeného důvodu Úřad považuje napadenou zadávací podmínku za podmínku, která byla stanovena v souladu s obecně platnými a uznávanými standardy v oboru kybernetické bezpečnosti a která je souladná i se zákonem, neboť zadavatel v šetřeném případě nemohl reálně, a to za předpokladu vynaložení adekvátních nákladů, přijmout jiné, méně závažné opatření.

99.         K navrhovatelem namítanému porušení zásady zákazu diskriminace a bezdůvodnému omezení hospodářské soutěže Úřad uzavírá, že zřejmě ani není sporu o tom, že napadená zadávací podmínka významným způsobem znevýhodňuje dodavatele, kteří měli v úmyslu pro plnění předmětu veřejné zakázky využít technické a programové prostředků společnosti Huawei, respektive ZTE, tedy jde o zadávací podmínku, která ve svém důsledku představuje omezení hospodářské soutěže. Ne každé omezení hospodářské soutěže (ne každá překážka hospodářské soutěže) je však a priori nezákonná. Nezákonnou se překážka hospodářské soutěže stává až ve chvíli, kdy je zadavatelem stanovena bezdůvodně. Jak bylo dovozeno výše, napadená zadávací podmínka je de facto jediným možným opatřením, kterým zadavatel je schopen účinně čelit hrozbám z pohledu kybernetické bezpečnosti při modernizaci ICT a zároveň dostát povinnostem, které v souladu s připravovanou legislativou v oblasti kybernetické bezpečnosti může zadavatel v dohledné době v souvislosti s předmětem plnění veřejné zakázky reálně očekávat. Úřad tak v uvedeném ohledu nepovažuje napadenou zadávací podmínku s ohledem na individuální okolnosti veřejné zakázky za jakkoliv excesivní či představující libovůli zadavatele, nýbrž jediný způsob, jak mohl zadavatel dostát svým povinnostem v oblasti kybernetické bezpečnosti, které na něj s vysokou mírou pravděpodobnosti dopadnou v okamžiku přijetí očekávané legislativy v oblasti kybernetické bezpečnosti, tj. v průběhu plnění šetřené veřejné zakázky. Úřad tak uzavírá, že napadená zadávací podmínka s ohledem na výše uvedené nepředstavuje ani porušení některé ze základních zásad zadávacího řízení, a to včetně zákazu diskriminace, neboť se v jejím případě nejedná o bezdůvodné omezení hospodářské soutěže.

Závěr

100.     S ohledem na výše uvedené Úřad návrh navrhovatele ze dne 27. 9. 2023 na zahájení správního řízení o přezkoumání úkonů zadavatele učiněných při zadávání předmětné veřejné zakázky podle § 265 písm. a) zákona zamítl, neboť nebyly zjištěny důvody pro uložení nápravného opatření, jak je uvedeno ve výroku tohoto rozhodnutí.

Poučení

Proti tomuto rozhodnutí lze do 15 dní ode dne jeho doručení podat rozklad k předsedovi Úřadu pro ochranu hospodářské soutěže, a to prostřednictvím Úřadu pro ochranu hospodářské soutěže – Sekce veřejných zakázek, třída Kpt. Jaroše 1926/7, Černá Pole, 602 00 Brno. Včas podaný rozklad má odkladný účinek. Rozklad a další podání účastníků učiněná v řízení o rozkladu se podle § 261 odst. 1 písm. b) zákona činí výhradně prostřednictvím datové schránky nebo jako datová zpráva podepsaná uznávaným elektronickým podpisem.

 

otisk úředního razítka

 

 

Mgr. Markéta Dlouhá

místopředsedkyně

 

 

 

Obdrží:

1.             Klatovská nemocnice, a.s., Plzeňská 929, 339 01 Klatovy

2.             Rokycanská nemocnice, a.s., Voldušská 750, 337 01 Rokycany

3.             Stodská nemocnice, a.s., Hradecká 600, 333 40 Stod

4.             Domažlická nemocnice, a.s., Kozinova 292, 344 01 Domažlice

5.             Nemocnice následné péče Svatá Anna, s.r.o., Kyjovská 607, 348 15 Planá

6.             Nemocnice následné péče LDN Horažďovice, s.r.o., Blatenská 314, 341 01 Horažďovice

7.             Huawei Technologies (Czech) s.r.o., Jihlavská 1558/21, 140 00 Praha 4

Vypraveno dne:

viz otisk razítka na poštovní obálce nebo časový údaj na obálce datové zprávy