Rozdział 4

Bezpieczeństwo i odporność

Artykuł 66

Względy bezpieczeństwa w zamówieniach publicznychZastępuje: motyw 41 dyrektywy 2014/24/EU

1. Nabywcy publiczni wprowadzają odpowiednie środki, oprócz środków wymaganych lub nałożonych na mocy innych przepisów Unii, w stosownych przypadkach, na każdym etapie postępowania o udzielenie zamówienia, od planowania i konsultacji rynkowych po udzielenie i wykonanie zamówienia, w celu zapewnienia ochrony interesów Unii lub co najmniej jednego państwa członkowskiego w zakresie bezpieczeństwa i bezpieczeństwa publicznego w odniesieniu do każdego postępowania o udzielenie zamówienia publicznego, w przypadku którego stwierdzono, że stwarza ryzyko dla bezpieczeństwa lub bezpieczeństwa publicznego lub obejmuje takie ryzyko. Niniejszy rozdział pozostaje bez uszczerbku dla innych wymogów wynikających z odpowiednich przepisów Unii.

2. Interesy Unii lub państwa członkowskiego w zakresie bezpieczeństwa i bezpieczeństwa publicznego istotne dla danego zamówienia mogą obejmować między innymi:

a) ochronę infrastruktury krytycznej, strategicznej infrastruktury podwójnego zastosowania, zidentyfikowanej przez państwa członkowskie zgodnie z [art. 33 rozporządzenia w sprawie mobilności wojskowej], w szczególności w odniesieniu do infrastruktury znajdującej się w korytarzu mobilności wojskowej, krytycznych łańcuchów dostaw, technologii krytycznych lub usług kluczowych, odporność na zagrożenia fizyczne, cybernetyczne lub hybrydowe oraz zapobieganie wszelkim zakłóceniom i ochronę przed ryzykiem wszelkich zakłóceń, w tym ze względu na szkodliwe strategiczne zależności od dostawców z państw trzecich,

b) zapobieganie szpiegostwu, sabotażowi lub wyciekowi technologii;

c) gotowość na wypadek sytuacji kryzysowej, w tym ciągłość działania i planowanie awaryjne na wypadek zakłóceń w przypadku klęsk żywiołowych lub niestabilności geopolitycznej, pandemii lub cyberataków;

d) zapobieganie innym szkodliwym zakłóceniom, w tym wpływom kontrolowanym przez państwa trzecie i państwa trzecie;

e) cyberbezpieczeństwo przetwarzanych systemów, sieci i danych;

f) ochronę informacji niejawnych, danych szczególnie chronionych, badań naukowych lub własności intelektualnej przed nieuprawnionym dostępem lub przekazaniem;

zapewnienie zdrowia publicznego, w tym przygotowanych na sytuacje kryzysowe i samowystarczalnych usług zdrowotnych; lub

h) odporność na zakłócenia związane z klimatem.

3. Ryzyko dla bezpieczeństwa lub bezpieczeństwa publicznego w ramach zamówienia publicznego może wynikać w szczególności z:

przedmiot zamówienia, taki jak:

i) wrażliwość aktywów zaangażowanych w jego realizację lub aktywów, które mają zostać opracowane w ramach jego realizacji;

ii) dostęp do danych szczególnie chronionych i postępowanie z nimi;

iii) krytyczna zależność lub ryzyko krytycznej zależności od ograniczonej liczby dostawców, towarów, usług lub technologii z państw trzecich;

iv) ryzyko związane z dostępem do infrastruktury krytycznej, strategicznej infrastruktury podwójnego zastosowania zidentyfikowanej przez państwa członkowskie zgodnie z [art. 33 rozporządzenia w sprawie mobilności wojskowej], obiektów badawczych, systemów informatycznych lub materiałów krytycznych;

v) podwójny charakter zamawianych technologii, robót budowlanych, towarów lub usług;

vi) charakter związanych z nim interesów publicznych oraz potencjalne konsekwencje nieprawidłowego działania lub nieprawidłowego działania, takie jak zagrożenie dla bezpieczeństwa publicznego, bezpieczeństwa narodowego, stabilności gospodarczej, bezpieczeństwa zdrowotnego lub praw podstawowych;

b) cechy wykonawców, takie jak:

i) struktury własności, kontroli lub finansowania obciążonej ryzykiem nadmiernej ingerencji lub wpływu na nią;

ii) dotychczasowe osiągnięcia w zakresie bezpieczeństwa, w tym naruszenia w przeszłości, nieprzestrzeganie norm bezpieczeństwa lub wykluczenie z innych postępowań o udzielenie zamówienia ze względów bezpieczeństwa;

iii) zdolność do spełnienia mających zastosowanie wymogów dotyczących poświadczenia bezpieczeństwa, weryfikacji personelu lub bezpieczeństwa informacji;

iv) podleganie przepisom państwa trzeciego, które mogą wymagać ujawnienia informacji szczególnie chronionych lub ingerencji w realizację zamówienia.

4. Nabywcy publiczni w miarę możliwości określają w szczegółach zamówienia w jasny i wystarczająco szczegółowy sposób odpowiednie środki, które są proporcjonalne do ryzyka, o którym mowa w ust. 3, i niedyskryminacyjne. Takie środki mogą być wdrażane w szczególności poprzez:

a) specyfikacje, takie jak obowiązkowe normy bezpieczeństwa, certyfikaty, obowiązki w zakresie weryfikacji personelu lub poświadczenia bezpieczeństwa, lub wymogi w zakresie zarządzania ryzykiem i zapewnienia bezpieczeństwa;

b) kryteria udzielenia zamówienia, takie jak ocena systemów zarządzania bezpieczeństwem oferentów, norm zgodności w zakresie bezpieczeństwa, zdolności reagowania na incydenty, bezpieczeństwa łańcucha dostaw;

c) warunki realizacji zamówień, takie jak umożliwienie nadzoru nad bezpieczeństwem dostawców poprzez audyty, inspekcje lub przeglądy dokumentacji oraz wdrożenie środków naprawczych w przypadku naruszeń, w tym przepisów dotyczących podwykonawstwa, powiadamiania o zmianie własności oraz ochrony informacji niejawnych lub szczególnie chronionych;

d) kryteria kwalifikacji, w uzasadnionych przypadkach, takie jak posiadanie poświadczenia bezpieczeństwa lub w inny sposób wymaganie od oferentów wykazania, że nie stanowią oni zagrożenia dla bezpieczeństwa lub bezpieczeństwa publicznego zgodnie z ust. 3 lit. b). Pozostaje to bez uszczerbku dla art. 26;

na zasadzie odstępstwa od art. 34 ust. 2 zapraszają do złożenia oferty w postępowaniu, o którym mowa w art. 34, wyłącznie tych wykonawców, którzy spełniają szczególne obiektywne i niedyskryminujące wymogi związane z bezpieczeństwem, pod warunkiem że nabywca publiczny wyraził taki zamiar, a wymogi związane z bezpieczeństwem, które zamierza stosować, w publicznym podsumowaniu warunków konkurencji w odniesieniu do danego zamówienia.

Nabywcy publiczni mogą również wskazać w szczegółach zamówienia, jakie środki bezpieczeństwa zamierzają wdrożyć w przypadku wystąpienia zagrożeń dla bezpieczeństwa lub bezpieczeństwa publicznego w trakcie postępowania o udzielenie zamówienia.

5. Nabywcy publiczni w dowolnym momencie postępowania wykluczają wykonawcę z udziału w postępowaniu o udzielenie zamówienia, w przypadku gdy wykonawca został zidentyfikowany jako dostawca wysokiego ryzyka zgodnie z rozporządzeniem (UE) XXXX/XXX [wniosek w sprawie CSA2] w odniesieniu do dostarczania komponentów ICT lub komponentów obejmujących komponenty ICT, które mają być wykorzystywane w kluczowych zasobach ICT zidentyfikowanych zgodnie z art. [...] tego rozporządzenia.

6. W przypadku gdy istnieją dowody, że różnice w środkach wpływają na funkcjonowanie rynku wewnętrznego, Komisja jest uprawniona do przyjmowania aktów delegowanych zgodnie z art. 141 w celu uzupełnienia niniejszego rozporządzenia poprzez ustanowienie obowiązkowych specyfikacji technicznych, kryteriów kwalifikacji, kryteriów udzielenia zamówienia lub klauzul dotyczących realizacji zamówienia w odniesieniu do określonych kategorii towarów, usług lub robót budowlanych, w przypadku gdy takie elementy odnoszą się do określonego szczególnego interesu Unii w zakresie bezpieczeństwa i bezpieczeństwa publicznego.