Sikkerhetstest i anbud: fire krav som ikke betyr det samme

Ordlyden varierer mellom oppdragsgivere, men kravene faller i fire grupper. Finn ut hvilken gruppe deres krav hører til før dere gjør noe annet.

Å blande dem koster i begge retninger. Kjøper dere en penetrasjonstest fordi kravet egentlig var et styringssystem, har dere brukt penger på noe som ikke svarer på kravet. Krysser dere av for sertifisering fordi dere har en testrapport, har dere sagt noe som ikke er sant om et forhold som er trivielt å kontrollere.

Den vanligste feilen er å lese «uavhengig tredjepart» som et krav om en bestemt type leverandør, med sertifiseringer og en viss størrelse. Kravet handler som regel om uavhengighet, altså at den som testet ikke har egeninteresse i resultatet. Står det ikke noe mer i konkurransegrunnlaget, er det ikke noe mer.

Den nest vanligste er å lese «regelmessig» som «én gang». Et krav om rutine besvares med rutinen: hvor ofte, hva som utløser den, hva som skjer med funnene, og hvem som følger opp. Rapporten er beviset for at rutinen er i bruk, ikke svaret i seg selv.

Dette avgjør mest, og overses oftest. Det samme kravet betyr forskjellige ting avhengig av hvor i konkurransegrunnlaget det er plassert.

Er kravet et kontraktskrav, er det som skal leveres ved tilbudsfristen en forpliktelse, ikke en rapport. Da er problemet et innkjøp dere har god tid på, ikke et hinder for å levere tilbud.

Er kravet et tildelingskriterium, er spørsmålet hva det er verdt. Et krav som gir fem prosent uttelling er sjelden verdt å tape kontrakten på, og heller ikke verdt å lyve om.

Er det et kvalifikasjonskrav dere ikke oppfyller, er den ærlige konklusjonen at denne konkurransen ikke er deres. Det er et surt svar, og det er bedre enn å levere et tilbud som blir avvist etter at dere har brukt to uker på det. Den neste konkurransen er deres hvis dere begynner nå.

Før dere bestemmer noe, hent svarene på disse spørsmålene ut av teksten. De fleste står der. De som ikke gjør det, er verdt å spørre om.

I offentlige konkurranser kan leverandører sende skriftlige spørsmål innen en frist, og svaret gis til alle som deltar. Er kravet uklart, er det både billigere og raskere å spørre enn å gjette.

Spørsmål som pleier å hjelpe: skal dokumentasjonen leveres ved tilbudsfristen eller ved kontraktsinngåelse, aksepteres et sammendrag i stedet for hele rapporten, og aksepteres en signert avtale om test der testen ikke er gjennomført ennå.

Oppdragsgiver har ingen plikt til å endre kravet, og kan svare at det står som det står. Men et uklart krav er ofte uklart fordi det er hentet fra et tidligere konkurransegrunnlag, og et konkret spørsmål er da den korteste veien til et konkret svar. Svaret gjelder for alle, så dere gir ikke fra dere noe ved å spørre.

Dette er situasjonen siden er skrevet for. Fristen er tre uker, kravet er en gjennomført test, og dere har ingen. Rekkefølgen på det som faktisk virker:

Å skrive at testen er gjennomført når den ikke er det. I en offentlig konkurranse kan uriktige eller villedende opplysninger føre til avvisning, og oppdages det etter tildeling er det et kontraktsproblem i tillegg til et tillitsproblem.

Å tolke «uavhengig tredjepart» som at deres egen utvikler holder fordi hen ikke skrev akkurat den modulen. Det er ikke uavhengighet, og det er en tolkning som ikke overlever ett spørsmål fra oppdragsgiver.

Å love ISO-sertifisering innen kontraktsoppstart uten å ha snakket med et sertifiseringsorgan om hvor lang tid det faktisk tar.

Dette er delen folk ikke tenker på før det er for sent. Et tilbud i en offentlig konkurranse er ikke et privat dokument.

Etter offentleglova § 23 tredje ledd kan det gjøres unntak fra innsyn «for tilbod og protokoll etter regelverk som er gitt i medhald av anskaffelsesloven, til valet av leverandør er gjort». Etter det tidspunktet gjelder de vanlige reglene, med de unntakene loven ellers gir.

Det finnes hjemler som passer på en sårbarhetsrapport. Offentleglova § 24 tredje ledd åpner for unntak «for opplysningar når unntak er påkravd fordi innsyn ville lette gjennomføringa av straffbare handlingar», og forretningshemmeligheter er underlagt taushetsplikt. Men vurderingen gjøres av oppdragsgiver, ikke av dere.

Lever en attest i stedet: hvem som testet, når, hvilket omfang, hvor mange funn i hver alvorlighetsgrad, og hva som er lukket og etterprøvd. Det svarer på kravet uten å beskrive hvordan man kommer inn.

Kravet som fikk dere gjennom kvalifiseringen står som regel også i kontrakten, og der har det en pris hvert år. «Årlig sikkerhetstest» i et sikkerhetsvedlegg er en fast kostnad i hele kontraktsperioden, på linje med en lisens.

Les vedlegget før dere signerer, ikke etter. Det som pleier å ligge der ved siden av testkravet er varslingsfrist ved hendelser, revisjonsrett for kunden, krav som går videre til underleverandørene deres, og en frist for å lukke funn. Det siste er verdt å regne på: en frist på 30 dager for kritiske funn er noe annet enn 90.

Ta kostnaden inn i tilbudsprisen. Den forsvinner ikke fordi den ikke ble regnet på.

Formuleringene over er de vi ser gå igjen, ikke en uttømmende liste, og flere av begrepene har ingen bindende definisjon.

Den eksterne sjekken leser det som er synlig utenfra og gir dere funnene med en gang, uten innlogging og uten e-postadresse.