Mál nr. 23/2025. Úrskurður kærunefndar útboðsmála.

Úrskurður kærunefndar útboðsmála 28. janúar 2026
í máli nr. 23/2025:
Atendi ehf.
gegn
Fjársýslu ríkisins

Lykilorð
Rammasamningsútboð. Sérfræðingur. Bindandi samningur.

Útdráttur
A kærði rammasamningsútboð F á raftækjum. Í valforsendum útboðsgagna var tekið fram að 10 stig fengjust ef bjóðandi væri með ISO gæðavottorð eða vottað gæðastjórnunarkerfi. A kærði þá ákvörðun F, sem fram kom í svari við fyrirspurn á útboðstíma, um að einnig yrði gefin stig ef bjóðandi væri með vottað upplýsingaöryggiskerfi. A vísaði til þess að aðeins annar staðallinn, ISO 9001, tæki til vara, en efni hins staðalsins, ISO 27001, varðaði hvorki vöru né þjónustu. Því væri ekki hægt að leggja þá að jöfnu þar sem þeir væru ólíkir að efni, markmiði og gildissviði. Í niðurstöðu kærunefndar útboðsmála var tekið fram að samkvæmt tilkynningu F væri kominn á bindandi samningur í hinu kærða rammasamningsútboði, sem ekki yrði felldur úr gildi samkvæmt 1. mgr. 114. gr. laga nr. 120/2016 um opinber innkaup. Var kröfum A því hafnað.

Með kæru móttekinni hjá kærunefnd útboðsmála 10. júní 2025 kærði Atendi ehf. (hér eftir „kærandi“) rammasamningsútboð Fjársýslu ríkisins (hér eftir „varnaraðili“) nr. 22197-2 auðkennt „FA Electronics“.

Kærandi krefst þess að kærunefnd útboðsmála stöðvi þegar útboð varnaraðila þar til endanlega hefur verið skorið úr kæru, með vísan til 110. gr. laga nr. 120/2016 um opinber innkaup. Kærandi krefst þess jafnframt að ákvörðun varnaraðila, sem fram kemur í svari við fyrirspurn um að stigagjöf fyrir ISO gæðavottorð eða vottað gæðastjórnunarkerfi nái einnig til upplýsingaöryggiskerfis, verði felld úr gildi eða verði ógilt. Þá krefst kærandi þess enn fremur að stig fyrir gæðavottorð eða gæðastjórnunarkerfi, sem vísað er til í greinum 1.4, 1.8 og 1.9 í útboðsskilmálum, verði aðeins veitt fyrir staðla sem fela í sér raunverulegt gæðastjórnunarkerfi og tengist efni samningsins (vörukaupum) en ekki upplýsingaöryggiskerfi. Loks krefst kærandi þess að kærunefnd útboðsmála ákveði að varnaraðili greiði kæranda kostnað við að hafa kæruna uppi.

Varnaraðila var kynnt kæran og gefinn kostur á að gera athugasemdir. Varnaraðili krefst þess í greinargerð sinni 25. júní 2025 að kærunefnd útboðsmála hafni því að stöðva innkaupaferlið. Þá er þess krafist að kærunefnd útboðsmála hafni öðrum kröfum kæranda með endanlegum úrskurði.

Kærunefnd útboðsmála tilkynnti aðilum málsins með tölvupósti 15. júlí 2025 um að ákveðið hefði verið að kalla Sæmund E. Þorsteinsson sem sérfræðing til ráðgjafar og aðstoðar nefndinni í málinu með vísan til heimildar 2. mgr. 104. gr. laga nr. 120/2016. Aðilar málsins gerðu ekki athugasemdir við það og var skipunarbréf hans undirritað 23. júlí 2025 og fengu aðilar málsins afrit af því.

Með ákvörðun 22. september 2025 hafnaði kærunefnd útboðsmála kröfu kæranda þess efnis að hið kærða innkaupaferli yrði stöðvað um stundarsakir.

Varnaraðili tilkynnti kærunefnd útboðsmála 6. október 2025 að hann hygðist ekki leggja fram frekari athugasemdir í málinu.

Kærandi lagði fram lokaathugasemdir sínar 15. október 2025.

Kærunefnd útboðsmála óskaði eftir upplýsingum frá varnaraðila 1. desember 2025 um stöðu útboðsins. Varnaraðili svaraði beiðni kærunefndarinnar 4. desember 2025 og upplýsti að bindandi samningur hefði komist á þann 4. nóvember 2025.

I

Þann 23. maí 2025 auglýsti varnaraðili hið kærða rammasamningsútboð, sem varðar innkaup á raftækjum. Samkvæmt grein 1.1.2 er útboðinu skipt í tvo hluta, A og B. Undir A hluta féllu almenn heimilistæki fyrir opinbera aðila, þ.e. fyrir skrifstofurými, kaffistofur, eldhús og þvottahús. Undir B hluta féllu tæki og hugbúnaður fyrir hljóð og mynd, þ.e. viðtaka, upptaka, myndataka, afspilun o.fl. fyrir heimili, skólastofur, fundarsali, skrifstofurými o.fl., þar með talið búnaður og hugbúnaður fyrir fundarherbergi, heyrnartól, hátalarar og gagnvirkir skjáir.

Í grein 1.4 í útboðsgögnum komu fram valforsendur og var tekið fram að bjóðendum yrði raðað í hagkvæmnisröð eftir stigagjöf, og valdir yrðu að lágmarki tveir og að hámarki fjórir stigahæstu birgjar samkvæmt útreikningi í hverjum hluta og yrði það metið á samtölu stigagjafar í hverjum hluta fyrir sig. Fjárhagslega hagkvæmasta tilboðið í hverjum hluta yrði valið á grundvelli hæstu einkunnar samkvæmt 3. tölul. 1. mgr. 79. gr. laga nr. 120/2016. Heildarverð í vörukörfu myndi gilda 70 stig, afsláttarprósenta fyrir allt vöruframboðið í viðkomandi vöruflokki utan vörukörfu myndi gilda 10 stig, og þá yrðu gefin 10 stig ef bjóðandi byði upp á umhverfisvæna förgun eða endurnýtingu á vörum og umbúðum sem keyptar yrðu í gegnum samninginn, og einnig 10 stig ef bjóðandi væri með ISO gæðavottorð eða vottað gæðastjórnunarkerfi, sem gefið væri út af matsaðila með faggildingu. Hið sama kemur fram í grein 1.8 í útboðslýsingu að því er varðar A hluta útboðsins, og í grein 1.9 að því er varðar B hluta útboðsins.

Á útboðstíma bárust nokkrar fyrirspurnir frá bjóðendum. Í spurningu nr. 2, sem barst 2. júní 2025, var spurt um hvað væri átt við með faggildingu. Í svari varnaraðila var vísað til upplýsinga sem fram kæmu um faggildingu á vefnum island.is. Í spurningu nr. 6, sem barst einnig 2. júní 2025, var varnaraðili beðinn um að skýra betur hvaða ISO staðlar féllu undir kröfu sem vísað væri til í grein 1.4 í útboðsgögnum. Svar varnaraðila var á þá leið að um væri að ræða „staðla um gæðastjórnunarkerfi og/eða upplýsingaöryggiskerfi.“

Í spurningu nr. 7, sem barst 4. júní 2025, kom fram að í svari varnaraðila við spurningu nr. 6 væri líklega átt við ISO staðla 9001 og ISO 27001. Var tekið fram í spurningunni að ekki væri séð hvernig staðall ISO 27001 tengdist efni samnings né uppfyllti kröfur um að vera gæðastjórnunarkerfi, og var vísað til 79. gr. laga nr. 120/2016 í þessu sambandi. Var varnaraðili beðinn um að útskýra hvernig sá staðall gæti verið staðgengill ISO 9001, sem væri staðall um gæðastjórnunarkerfi, og hvernig ISO 27001 tryggði gæði í búnaði í útboðinu. Teldi fyrirspyrjandi að það væri ómálefnalegt að leggja að jöfnu ISO 27001 við gæðakerfi og að það hygli fyrirtækjum sem starfi við upplýsingatækni umfram aðra bjóðendur. Í svari varnaraðila var tekið fram að varnaraðili væri ósammála því að fyrirtæki í upplýsingatækni væri gefið forskot þar sem bæði ISO 9001 og 27001 kæmu til greina til stigagjafar. ISO 27001 væri alþjóðlegur staðall fyrir stjórnunarkerfi upplýsingaöryggis og þó staðallinn snerti ekki beint raftækin sjálf, þá sneri hann eins og ISO 9001 að innri ferlum birgja sem byðu umrædd raftæki til kaupanda. Báðir ferlar fælu í sér staðlaða nálgun til að tryggja gæði og öryggi. Hafi birgi innleitt ISO 27001 væri það ákveðin staðfesting til kaupanda að birgi hefði meðal annars staðlaða nálgun er kæmi að öryggi í aðfangakeðjunni, meðhöndlun viðkvæmra upplýsinga og hvernig birgi nálgist eftiráþjónustu og viðhald á búnaði seldum til kaupanda. Ljóst væri að bjóðendur væru ekki útilokaðir frá þátttöku í þessu útboði ef þeir hefðu ekki slíkar vottanir, þeim væri hins vegar umbunað aukastigum væru slíkar vottanir til staðar.

II

Kærandi telur að útboðsskilmálar og skýringar varnaraðila á stigagjöf fyrir gæðavottun séu í andstöðu við 15. gr. og 79. gr. laga nr. 120/2016, og telur það fela í sér ólögmæta mismunun milli bjóðenda, skort á tengingu milli matsforsendna og samnings, og jafnframt skort á jafnræði og hlutlægni við meðferð tilboða. Vísar kærandi til þess að ISO 27001 staðallinn fjalli ekkert um gæði vöru eða þjónustu, heldur einungis um stjórnun upplýsingaöryggis, og hann geti þar af leiðandi ekki talist jafngildur ISO 9001 sem sé viðurkenndur alþjóðlegur staðall um gæðastjórnun. ISO 9001 eigi við þar sem markmiðið sé að bæta vörur og þjónustu og auka ánægju viðskiptavina, en ISO 27001 eigi við þar sem fyrirtæki þurfi að vernda upplýsingar og tryggja öryggi gagna. Því þjóni umræddir staðlar ekki sama tilgangi eða notkun. Kærandi telji beinlínis rangt að gera þeim jafn hátt undir höfði við mat á bjóðendum í útboði sem varði vörukaup, en svar varnaraðila um að einnig verði tekið við staðli um upplýsingakerfi feli í sér að ISO 27001 vottun sé gerð jafn mikilvæg og ISO 9001. Telji kærandi augljóst að stigagjöf fyrir staðal um upplýsingaöryggiskerfi feli í sér röskun á jafnræði þar sem tilteknum hópi séu tryggð stig sem hafi enga þýðingu í útboði sem varði vörukaup.

Í lokaathugasemdum sínum 15. október 2025 bendir kærandi á að hægt sé að fallast á að í grein 1.4 í útboðsgögnum sé veitt ákveðið svigrúm til annars hvort ISO gæðavottorðs eða annars vottaðs gæðastjórnunarkerfis, en hins vegar feli textinn hvorki í sér heimild né grundvöll fyrir að meta upplýsingaöryggiskerfi (ISO 27001) sem gæðakerfi og það sé kjarni málsins. Sú túlkun varnaraðila, að leggja þessa tvo ólíku staðla að jöfnu, gangi gegn eðli og tilgangi þeirra samkvæmt ISO og að eigin orðum varnaraðila, sem hafi tekið fram í greinargerð sinni að hann væri sammála því að ISO 27001 sé alþjóðlegum staðall fyrir stjórnunarkerfi upplýsingaöryggis. Með öðrum orðum þá viðurkenni varnaraðili að staðallinn fjalli ekki um gæði vöru, þjónustu eða rekjanleika, heldur öryggi upplýsinga.

Kærandi leggi áherslu á að staðlarnir séu ólíkir að efni, markmiði og gildissviði. Í ISO 27001 komi hvergi fyrir hugtakið gæði vöru og þjónustu, og hann fjalli ekki um viðskiptavinamiðun, rekjanleika né ánægju viðskiptavina. Það sé því röng túlkun að meta hann sem gæðavottorð í útboði sem varði vörukaup á raftækjum. Með greinargerð varnaraðila hafi fylgt fylgiskjal, sem hafi átt að sýna fram á tengsl milli staðlanna, en kærandi bendi á að í skjalinu komi m.a. fram að fjöldi ákvæða í ISO 9001 um gæði, viðskiptavinamiðun og vörustjórnun hafi enga samsvarandi kafla eða ákvæði í ISO 27001. Fylgiskjalið styðji því rök kæranda þess efnis að staðlarnir hafi ólík markmið og efni. Þótt þeir deili almennum stjórnunarkröfum breyti það ekki þeirri niðurstöðu að aðeins ISO 9001 falli undir hugtakið gæðastjórnunarkerfi í skilningi valforsendu útboðsins.

Kærandi vísi jafnframt til orðalags í vottorðum fyrir báða staðlana, en augljóst sé af orðalagi þeirra að um sé að ræða tvo aðskilda staðla með ólíkan tilgang og efni. Þá telji kærandi að krafa um ISO 27001 vottun hafi engin tengsl við efni samningsins og sé aðeins til þess fallin að veita tilteknum aðilum forskot án þess að forsendur séu til slíks. Að mati kæranda sé stigagjöf fyrir ISO 27001 til þess fallin að hygla þremur fyrirtækjum í upplýsingatækni sem hafi slíka vottun, á kostnað annarra bjóðenda sem starfi í framleiðslu eða verslun með raftæki. Slík mismunun sé að mati kæranda skýrt brot á jafnræðisreglu 15. gr. laga nr. 120/2016 og markmiði laganna um samkeppni og hagkvæmni. Þá megi ætla að þeir bjóðendur sem starfi í upplýsingatækni séu mun líklegri til að hafa ISO 27001 vottun en fyrirtæki sem annist sölu raftækja og þjónustu við þau. Þau fyrirtæki hljóti þannig stig að ósekju og með því sé beinlínis verið að takmarka samkeppni og mismuna bjóðendum eftir starfsgrein, í andstöðu við 15. gr. laga nr. 120/2016 og því markmiði laganna um að tryggja jafnræði og meðalhóf í útboðum.

Kærandi andmælir að auki sjónarmiðum varnaraðila um að ISO 27001 tryggi ákveðna staðlaða nálgun á öryggi í aðfangakeðju og eftiráþjónustu. Það sé algerlega óstaðfest og sé ósamræmanlegt efni staðalsins sjálfs, enda snúi ISO 27001 ekki að öryggi í vörudreifingu eða viðgerðarþjónustu heldur að meðhöndlun upplýsinga.

Framangreindu til viðbótar vísar kærandi til dóms Evrópudómstólsins í máli nr. C-199/07, þar sem fram hafi komið að ekki mætti rugla saman tæknilegum lágmarkskröfum og hæfnisskilyrðum við verðmat eða útboðsviðmiðunum. Sú meginregla hafi verið dregin af þessum dómi að kröfur verða að hafa skýra tengingu við hæfni til að framkvæma samning eða eðli verkefnisins. Sú vottun sem hér sé til umfjöllunar hafi engin tengsl við útboðið og sé því dulbúið skilyrði í skilningi útboðsréttar. Að auki vísar kærandi til hinnar svokölluðu Lianakis-túlkunar Evrópudómstólsins, sem leidd sé af niðurstöðu dómstólsins í máli nr. C-532/06, þar sem tekið hafi verið fram að atriði sem varði hæfni eða reynslu bjóðanda megi ekki notast sem valforsendur við mat á tilboðum. Kaupendur verði því í fyrsta lagi að skilgreina skýrt hvort skilyrði snúi að hæfni bjóðenda eða gæðum tilboðs, í öðru lagi mega kaupendur ekki meta eiginleika bjóðanda undir yfirskini þess að meta tilboðið, og í þriðja lagi mega kaupendur ekki setja skilyrði sem hafi ekkert raunverulegt samband við innihald útboðsins eða eðli samningsins. Það þýði að ef kaupandi krefjist tiltekinnar vottunar, svo sem ISO eða CE, sem ekki hafi bein tengsl við það sem útboðið beinist að, eða sé notað sem valforsenda til að meta tilboð fremur en hæfi, þá myndi það falla undir Lianakis-túlkunina og teljast ólögmæt notkun hæfisskilyrða við mat á tilboðum. Það væri brot á meginreglum 15. gr. laga nr. 120/2016, þ.m.t. um jafnræði, meðalhóf og gagnsæi.

III

Varnaraðili telur að kærandi hafi hvorki sýnt fram á né leitt líkur að því að brotið hafi verið gegn lögum nr. 120/2016 eða reglum settum samkvæmt lögunum við hin kærðu innkaup og að brotin séu þess eðlis að þau geti leitt til ógildingar á ákvörðunum varnaraðila. Sé því ekki tilefni til þess að stöðva samningsgerð.

Varnaraðili geti ekki fallist á að stigagjöf fyrir gæðavottun sé í andstöðu við lög nr. 120/2016, að hún feli í sér ólögmæta mismunun milli bjóðenda, að skortur sé á tengingu milli matsforsendna og efni samnings eða að jafnræði og hlutrækni hafi ekki verið gætt við meðferð tilboða. Varnaraðili andmælir túlkun kæranda á inntaki valforsendna þannig að hún nái einungis til gæðastjórnunarkerfis. Túlkun kæranda sé allt of ströng og samræmist ekki orðalagi greinar 1.4 í útboðsskilmálum. Valforsendan hafi verið orðuð með þeim hætti að 10 stig yrðu gefin ef bjóðandi væri með ISO gæðavottorð eða vottað gæðastjórnunarkerfi, og skyldi vottorðið vera gefið út af matsaðila með faggildingu. Í ákvæðinu komi því fram að gefin séu stig fyrir annað hvort ISO gæðavottorð eða vottað gæðastjórnunarkerfi. Gerð sé sérstök aðgreining þar á milli. Þá sé ekki gert að skilyrði fyrir því að fá stig undir þessum lið að gæðastjórnunarkerfi sé ISO vottað, heldur sé nægilegt að það sé vottað og það gefið út af matsaðila með faggildingu.

Varnaraðili vísar jafnframt til svars við fyrirspurn á útboðstíma, þar sem spurt hafi verið um hvað teldist til faggildingar í skilningi greinarinnar, en í svari varnaraðila hafi verið vísað til þess að allar upplýsingar um faggildingu og faggilta aðila á Íslandi væri að finna á vefsvæðinu island.is. Þá hafi varnaraðili svarað annarri fyrirspurn, um hvaða ISO staðla væri vísað til í grein 1.4, á þá leið að um væri að ræða staðla um gæðastjórnunarkerfi og/eða upplýsingaöryggiskerfi. Varnaraðili vísar jafnframt til svars við fyrirspurn nr. 7, þar sem gerðar hefðu verið athugasemdir við að ISO 27001 geti verið staðgengill ISO 9001, það væri ómálefnalegt og myndi hygla fyrirtækjum sem starfi við upplýsingatækni umfram aðra bjóðendur. Í svari varnaraðila hafi verið tekið fram að varnaraðili væri ósammála því að fyrirtækjum í upplýsingatækni væri gefið forskot þar sem báðir nefndir staðlar kæmu til greina til stigagjafar. Þótt ISO 27001 snerti raftækin ekki beint sjálf, þá snúi hann, eins og ISO 9001, að innri ferlum birgja sem bjóði umrædd raftæki til kaupanda. Báðir ferlar feli í sér staðlaða nálgun til að tryggja gæði og öryggi. Hafi birgi innleitt ISO 27001 sé það ákveðin staðfesting til kaupanda að birgi hafi meðal annars staðlaða nálgun er komi að öryggi í aðfangakeðjunni, meðhöndlun viðkvæmra upplýsinga og hvernig birgi nálgist eftiráþjónustu og viðhald á búnaði seldum til kaupanda. Bjóðendur séu ekki útilokaðir frá þátttöku í hinu kærða útboði ef þeir hefðu ekki slíkar vottanir, en þeim sé hins vegar umbunað aukastigum ef slíkar vottanir séu til staðar. Það sé ekki óeðlilegt að gefa stig fyrir slíkar vottanir.

Að mati varnaraðila sé óumdeilt að ISO 27001 teljist til ISO gæðavottorðs og uppfylli kröfuna eins og hún hafi verið sett fram í útboðsgögnum. Svör varnaraðila á fyrirspurnartíma séu til þess fallin að skýra nánar hvað falli þar undir. Varnaraðili byggi á því að það sé eðlilegt að leggja báða staðlana að jöfnu í valforsendum hins kærða útboðs, enda sé efni þeirra nátengt og skarast í ofanálag að vissu leyti. Hafi fyrirtæki innleitt annan hvorn staðalinn feli það í sér ákveðna staðfestingu á því að það sé með innri ferla og staðlaða nálgun þegar komi að m.a. öryggi í aðfangakeðju, meðhöndlun viðkvæmra upplýsinga og hvernig fyrirtækið nálgist eftiráþjónustu og viðhald á búnaði seldum til kaupanda. Þessi atriði tengist efni samningsins með beinum hætti, enda sé ekki einungis verið að framkvæma vörukaup heldur sé gert ráð fyrir ábyrgð seljanda á seldum vörum og að þeir geti sinnt viðgerðarþjónustu, sbr. t.d. grein 1.3.7 í útboðsskilmálum. Þá skipti meðhöndlun upplýsinga máli í afgreiðslu verkbeiðna og viðskiptaþjónustu, sem sé órjúfanlegur hluti þeirrar þjónustu sem fylgi sölunni. Það sé þvert á það sem kærandi haldi fram í anda jafnræðis að gefa bjóðendum stig ef þeir búi yfir ISO 27001 í þessum lið, enda sé með þeim staðli sýnt fram á að bjóðandi uppfylli að verulegu leyti sömu stjórnunarkröfur og leiða af ISO 9001.

IV

Samkvæmt 1. mgr. 111. gr. laga nr. 120/2016 um opinber innkaup getur kærunefnd fellt úr gildi ákvörðun kaupanda vegna opinberra innkaupa að hluta eða í heild, lýst samning óvirkan samkvæmt ákvæðum 115.-117. gr. laganna eða kveðið á um önnur viðurlög samkvæmt 118. gr. þeirra. Nefndin getur jafnframt lagt fyrir kaupanda að bjóða út tiltekin innkaup, auglýsa útboð á nýjan leik eða að fella niður tiltekna ólögmæta skilmála í útboðsgögnum. Í 1. mgr. 114. gr. laga nr. 120/2016 kemur fram að eftir að bindandi samningur samkvæmt lögunum hefur komist á verður hann ekki felldur úr gildi eða honum breytt þótt ákvörðun kaupanda um framkvæmd útboðs eða gerð samnings hafi verið ólögmæt.

Kröfugerð kæranda lýtur að því að felld verði úr gildi sú ákvörðun varnaraðila að stigagjöf fyrir ISO gæðavottorð eða vottað gæðastjórnunarkerfi nái einnig til upplýsingaöryggiskerfis, og að stig fyrir gæðavottorð eða gæðastjórnunarkerfi verði aðeins veitt við staðla sem fela í sér raunverulegt gæðastjórnunarkerfi og tengist efni samningsins. Fyrir liggur að bindandi samningur hefur komist á í kjölfar hins kærða rammasamningsútboðs, sbr. tilkynningu varnaraðila þess efnis 4. nóvember 2025. Þegar af þessum sökum verður að hafna kröfum kæranda, sbr. fyrrnefnd ákvæði laga nr. 120/2016.

Kemur því eingöngu til álita krafa kæranda um málskostnað. Með vísan til framangreindrar niðurstöðu í málinu þykir rétt að málskostnaður falli niður.

Úrskurðarorð

Öllum kröfum kæranda, Atendi ehf., í máli þessu er hafnað.

Málskostnaður fellur niður.

Reykjavík, 28. janúar 2026

Reimar Pétursson

Kristín Haraldsdóttir

Auður Finnbogadóttir