Art. 407

Zasady dotyczące bezpieczeństwa informacji

W przypadku zamówień obejmujących informacje niejawne zamawiający określa w ogłoszeniu o zamówieniu lub dokumentach zamówienia wymagania związane z realizacją zamówienia, niezbędne do zapewnienia bezpieczeństwa tych informacji. W tym celu zamawiający może, w szczególności:

1) żądać złożenia wraz z ofertą:

a) zobowiązania wykonawcy i już znanych podwykonawców do ochrony informacji niejawnych znajdujących się w ich posiadaniu lub z którymi zapoznają się w trakcie realizacji zamówienia i po jego zakończeniu,

b) zobowiązania wykonawcy do uzyskania od innych podwykonawców, którym powierzy podwykonawstwo w trakcie realizacji zamówienia, zobowiązań, o których mowa w lit. a, oraz do złożenia ich zamawiającemu przed zawarciem umowy o podwykonawstwo,

c) informacji dotyczących już znanych podwykonawców, w tym podania ich imion i nazwisk oraz miejsca zamieszkania albo nazwy i siedziby oraz danych, które umożliwiają zamawiającemu stwierdzenie, że każdy z nich posiada kwalifikacje wymagane do ochrony informacji niejawnych, do których mają dostęp lub które zostaną wytworzone w związku z wykonywaniem umowy o podwykonawstwo,

d) zobowiązania wykonawcy do dostarczenia informacji, o których mowa w lit. c, dotyczących nowych podwykonawców, przed zawarciem umowy o podwykonawstwo;

2) określić prawo zweryfikowania lub odsunięcia pracowników wykonawcy, którzy mają brać udział w realizacji zamówienia, zarówno na etapie prowadzenia postępowania o udzielenie zamówienia, jak również na etapie realizacji umowy w sprawie zamówienia publicznego w dziedzinach obronności i bezpieczeństwa, jeżeli wymaga tego ochrona podstawowych interesów bezpieczeństwa państwa albo jest to konieczne w celu podniesienia bezpieczeństwa realizowanych zamówień.

---

1. Bezpieczeństwo informacji Problematyka bezpieczeństwa informacji jest kluczowa z punktu widzenia zamówień udzielanych w dziedzinach obronności i bezpieczeństwa.

W nocie wyjaśniającej dotyczącej bezpieczeństwa informacji Komisja Europejska zwraca uwagę, że zdolność i wiarygodność wykonawców związane z ochroną informacji niejawnych – rozumianych jako wszelkie informacje lub materiały, niezależnie od ich formy, charakteru lub sposobu ich przekazania, którym przyznano określony poziom niejawności lub ochrony ze względów bezpieczeństwa i które w interesie bezpieczeństwa narodowego i zgodnie z przepisami ustawowymi, wykonawczymi i administracyjnymi obowiązującymi w danym państwie członkowskim wymagają ochrony przed wszelkim sprzeniewierzeniem, zniszczeniem, usunięciem, ujawnieniem, utratą lub dostępem ze strony osób nieupoważnionych lub wszelkim innym zagrożeniem – są kluczowe dla udzielania i realizowania wielu zamówień z dziedziny obronności lub newralgicznego sprzętu związanego z bezpieczeństwem³⁰.

2. Wymagania szczególne. Przepis art. 407 Pzp nakłada na zamawiającego obowiązek określenia w ogłoszeniu o zamówieniu lub w dokumentach zamówienia (SWZ lub OPW) wymagań w zakresie bezpieczeństwa informacji w przypadku zamówień obejmujących informacje niejawne. W praktyce oznacza to, że zamawiający będzie miał zawsze taki obowiązek, udzielając zamówień w dziedzinie bezpieczeństwa, które z definicji obejmują informacje niejawne. Należy się spodziewać, że również w dziedzinie obronności na zamawiającym będzie spoczywał obowiązek określenia w ogłoszeniu o zamówieniu lub w dokumentach zamówienia wymagań w zakresie bezpieczeństwa informacji.

Pzp w art. 407 pkt 1 lit. a) upoważnia zamawiającego udzielającego zamówienia w dziedzinach obronności i bezpieczeństwa do żądania od wykonawcy złożenia wraz z ofertą zobowiązania wykonawcy i już znanych podwykonawców do ochrony informacji niejawnych znajdujących się w ich posiadaniu lub z którymi zapoznają się w trakcie realizacji zamówienia i po jego zakończeniu. Żaden przepis Pzp nie upoważnia wprawdzie wykonawcy do przekazania podwykonawcom informacji niejawnych związanych z postępowaniem. Niemniej jednak przyjąć należy, że skoro na podwykonawcach ciąży obowiązek ochrony informacji niejawnych, w których posiadanie weszli w związku z udziałem w postępowaniu o udzielenie zamówienia, ustawodawca w sposób dorozumiany przewidział możliwość wejścia podwykonawców w posiadanie informacji niejawnych, w tym powierzenia podwykonawcom takich informacji przez wykonawcę.

Zgodnie z art. 407 pkt 1 lit. b Pzp zamawiający, udzielając zamówienia w dziedzinach obronności i bezpieczeństwa, jest upoważniony do żądania od wykonawcy złożenia wraz z ofertą zobowiązania wykonawcy do uzyskania od innych podwykonawców, którym powierzy podwykonawstwo w trakcie realizacji zamówienia, zobowiązań, o których mowa w lit. a, oraz do złożenia ich zamawiającemu przed zawarciem umowy o podwykonawstwo.

Z kolei przepis art. 407 pkt 1 lit. c Pzp upoważnia zamawiającego do żądania od wykonawcy złożenia wraz z ofertą informacji dotyczących już znanych podwykonawców, w tym podania ich imion i nazwisk oraz miejsca zamieszkania albo nazwy i siedziby oraz danych, które umożliwiają zamawiającemu stwierdzenie, że każdy z nich posiada kwalifikacje wymagane do ochrony informacji niejawnych, do których mają dostęp lub które zostaną wytworzone w związku z wykonywaniem umowy o podwykonawstwo.

Wreszcie w myśl art. 407 pkt 1 lit. d Pzp zamawiający jest upoważniony do żądania od wykonawcy złożenia wraz z ofertą zobowiązania wykonawcy do dostarczenia wymienionych wyżej informacji, dotyczących nowych podwykonawców, przed zawarciem umowy o podwykonawstwo.

Powyższy katalog ma charakter jedynie przykładowy i nie jest wyczerpujący. Oznacza to, że zamawiający może nakładać na wykonawcę również inne wymagania w zakresie bezpieczeństwa informacji w zakresie, w jakim jest to niezbędne.

3. Weryfikacja pracowników wykonawcy. Pzp w art. 407 pkt 2 upoważnia zamawiającego udzielającego zamówienia w dziedzinach obronności i bezpieczeństwa do zastrzeżenia sobie uprawnienia do zweryfikowania lub odsunięcia pracowników wykonawcy, którzy mają brać udział w realizacji zamówienia. Taka weryfikacja może mieć miejsce zarówno na etapie prowadzenia postępowania o udzielenie zamówienia, jak również na etapie realizacji umowy w sprawie zamówienia publicznego. Każdorazowo podobne zastrzeżenie musi być uzasadnione koniecznością ochrony podstawowych interesów bezpieczeństwa państwa albo koniecznością podniesienia bezpieczeństwa realizowanych zamówień w dziedzinach obronności i bezpieczeństwa.

---

³⁰ Guidance Note – Security of Information dostępna pod adresem https://ec.europa.eu/growth/single-market/public-procurement/rules-implementation/defence_pl; zob. także J. Czarnecka, A. Kowalski, M. Olejarz [red.], op. cit., s. 157 i nast.