V souvislosti s Varováním NÚKIB upozornil, že jsou orgány a osoby uvedené v ust. § 3 písm. c) až f) zákona ZKB povinny zohlednit požadavky vyplývající z dotčeného bezpečnostního opatření při výběru dodavatele pro jejich informační nebo komunikační systém a tyto požadavky zahrnout do smlouvy, a to s konstatováním, že splnění těchto povinností v souladu se zněním ZKB nelze považovat za nezákonné omezení hospodářské soutěže.[2] Co z toho však z praktického hlediska vyplývá pro zadavatele veřejných zakázek a jak mají postupovat v případě, že se do jejich výběrových řízení přihlásí uchazeč, před kterým NÚKIB varoval?
 

Jak má tedy vlastně zadavatel veřejné zakázky postupovat?

Jako určité vodítko pro aplikaci Varování do praxe NÚKIB vydal dne 4. ledna 2019 metodiku (dále jen „Metodika“), aby upřesnil, jak se mají další subjekty chovat, aby byla zachována jeho plná konformita. Zejména část šestá Metodiky se podrobněji věnuje problematice zajištění souladu postupu podle ZKB se zákonem č. 134/2016 Sb., o zadávání veřejných zakázek, ve znění pozdějších předpisů (dále jen „ZZVZ“).[3]

NÚKIB konstatuje, že pokud oprávněná autorita (míněno NÚKIB) disponuje zákonným zmocněním dle § 22 písm. b) ZKB a vydá akt (zde Varování), který může v konkrétních případech vést k omezení hospodářské soutěže, nemůže pak být dodržení tohoto omezení při tvorbě zadávacích podmínek považováno za vytváření bezdůvodné překážky hospodářské soutěže. Pokud se v § 36 odst. 1 ZZVZ , na straně druhé uvádí, že zadavatel nesmí vytvářet při stanovení zadávacích podmínek „bezdůvodné překážky hospodářské soutěže“, jsou na místě úvahy, do jaké míry ještě lze zadávací podmínky omezit, aby tím nedocházelo k nepřiměřenému a diskriminujícímu zásahu do práv dotčených subjektů.

Příprava veřejné zakázky ze strany zadavatele

Metodika pro přípravnou fázi veřejných zakázek odkazuje zadavatele, aby postupoval dle § 8 vyhlášky č. 82/2018 Sb., o kybernetické bezpečnosti (dále jen „VKB“). Dané ustanovení ovšem stanoví spíše v obecné rovině, kterými činnostmi se musí povinná osoba zabývat, aby byla zajištěna kybernetická bezpečnost a eliminována případná rizika spojená s jejími dodavateli. Metodika dále poukazuje na § 5 VKB a z tohoto dovozuje, že zadavatel musí provést analýzu vlastních bezpečnostních rizik a následně její výsledky zapracovat přímo do zadávací dokumentace. Z hlediska udržení nezbytné míry opatrnosti lze konstatovat, že vytyčení případných bezpečnostních rizik má mít obecně preventivní význam a informuje toliko případné dodavatele o tom, do jak rizikového prostředí vstupují a jaké nároky na ně budou kladeny, aby byla tato případná bezpečnostní rizika co nejvíce eliminována.

Porušení podmínek rovné hospodářské soutěže při zadávání veřejné zakázky

Předně je nutno vycházet z premisy, že dle § 4 odst. 4 ZKB je zadavatel povinen ve vztahu k zadávané veřejné zakázce dodržovat citovaný právní předpis. Ustanovení § 36 odst. 1 ZZVZ kategoricky stanoví: „…Zadávací podmínky nesmí být stanoveny tak, aby určitým dodavatelům bezdůvodně přímo nebo nepřímo zaručovaly konkurenční výhodu nebo vytvářely bezdůvodné překážky hospodářské soutěže…“. Důvodová zpráva k tomuto uvádí: „Zadavatel nesmí zadávací podmínky stanovit a sdělit nebo zpřístupnit tak, aby určitým dodavatelům byla bezdůvodně přímo nebo nepřímo zaručena konkurenční výhoda nebo aby byly vytvořeny neodůvodněné překážky při hospodářské soutěži o veřejnou zakázku. Zásadní v této souvislosti je, že nepřípustné je „bezdůvodné“ vytvoření překážky hospodářské soutěže. Prakticky veškeré zadávací podmínky totiž omezují okruh potenciálních dodavatelů, a tím vytvářejí překážku soutěže o veřejnou zakázku. Například stanovení konkrétních technických parametrů vyřazuje ze soutěže všechny dodavatele, jejichž výrobky požadované parametry nesplňují.“[4] 

Ve smyslu § 6 odst. 2 ZZVZ musí zadavatel při zadání veřejné zakázky dodržovat zásadu rovného zacházení a zákazu diskriminace. SD EU se aplikací této zásady pro oblast veřejných zakázek zabýval v několika případech. Dle rozsudku v tzv. případu Storebælt vyplývá zásada rovného zacházení ze samotného účelu zadávacích směrnic, jejichž primárním cílem je rozvoj účinné hospodářské soutěže; pro její zajištění je nezbytné, aby nabídky všech uchazečů vyhovovaly zadávacím podmínkám, aby bylo možné jejich objektivní porovnání (rozsudek SD EU C-243/89 Komise proti Dánskému království). Dle rozsudku v tzv. případu Wallon Buses musí mít všichni uchazeči při přípravě svých nabídek rovné šance (C-87/94 Komise proti Belgickému království).[5]

Zásada zákazu nediskriminace je stanovena na komunitární úrovni přímo v čl. 18 SFEU, který zakazuje jakoukoliv diskriminaci na základě státní příslušnosti. Dále je zakázána jakákoli diskriminace, ať už zjevná nebo skrytá. Zjevnou diskriminací by bylo uplatňování rozdílných podmínek vůči jednotlivým dodavatelům, ať z obsahového či procedurálního hlediska; diskriminací by byla rovněž situace, kdy by v důsledku postupu zadavatele bylo některým uchazečům znemožněno či ztíženo se ucházet o veřejnou zakázku za podmínek, které mají dodavatelé ostatní (Raus).[6]

Nejvyšší správní soud judikoval ve svém rozhodnutí ze dne 5. června 2008, č. j. 1 Afs 20/2008-152, že „… za skrytou formu nepřípustné diskriminace je třeba považovati takový postup, kterým zadavatel znemožní některým dodavatelům ucházet se o veřejnou zakázku nastavením technických kvalifikačních předpokladů zjevně nepřiměřených ve vztahu k velikosti, složitosti a technické náročnosti konkrétní veřejné zakázky, v důsledku čehož je zřejmé, že zakázku nemohou splnit někteří z potenciálních uchazečů, jež by jinak byli bývali k plnění předmětu veřejné zakázky objektivně způsobilými…“.

Nezbytná opatření přijatá zadavatelem v souvislosti s vyhlášením veřejné zakázky a jejich rozsah

V konkrétním případě zadavatel stran zadávacích podmínek veřejné zakázky stanovil pro uchazeče mimo jiné povinnost, že …ke každému kusu dodaného hardware musí být zajištěna dodávka druhého kusu hardware od nečínského výrobce a jejich plná společná integrace…[7]. Stanovení této povinnosti zadavatel opíral o nutnost snížit bezpečnostní riziko při možné „nedostupnosti služby“ na akceptovatelnou úroveň. Zde se ovšem nabízí otázka, zda tímto vymezením nedošlo k excesu z obecného rámce Varování a především, zda bylo možno povinnost vyplývající z vydaného Varování splnit také jiným opatřením, aby byla co nejvíce šetřena práva účastníků zadávacího řízení a zároveň zachována požadovaná bezpečnost.

NÚKIB pro potřeby hodnocení výše znázorněného postupu[8] identifikoval čtyři v praxi obvykle zvažovaná opatření, které by mohla povinná osoba – v daném případě tedy zadavatel – přijmout:

• nasazení technického opatření eliminujícího zranitelnost aktiva nebo hrozby spojené s používáním aktiva;
• implementací nového řešení za současného zachování provozu (byť nouzového) starého řešení;
• redundance, tj. zdvojení používaných zařízení;
• eliminace rizikové technologie.

Možnosti a) a b) NÚKIB z praxe de facto vyloučil pro jejich nevhodnost či provizorní charakter. Opatření v podobě redundance [c)] má v praxi zajistit, že v případě výpadku primárního zařízení budou veškeré procesy přesměrovány na redundantní (zdvojené) funkční zařízení a současně neovlivní fungování služby samotné a pro případ ztráty dat budou data zachována na redundantním zařízení.  Varianta d) pak spočívá ve vyloučení řešení dotčených společností. Ta však může být z hlediska ZKB a VKB nepřiměřená, když cílem přijetí bezpečnostního opatření není současné zajištění dostupnosti důvěrnosti a integrity, ale pouze některé z těchto složek (přičemž v daném případě jde toliko o zajištění „dostupnosti služby“).

Pokud by v praxi zadavatel veřejné zakázky přijal a aplikoval opatření v podobě redundance [c)] či eliminace rizikové technologie [d)], lze za legitimní považovat toliko podmínku, že by měl případný dodavatel zajistit duplicitu primárního zařízení, pokud dojde k poruše jeho dostupnosti (tedy zařízení záložní). Stanoví-li ovšem zadávací dokumentace podmínku, že …ke každému kusu dodaného hardware musí být zajištěna dodávka druhého kusu hardware od nečínského výrobce a jejich plná společná integrace…, pak patrně dochází k přepínání a rozšiřování opatření, které musí povinná osoba v souvislosti s vyhlášením veřejné zakázky přijmout, aby zachovala požadovaný soulad. Citovaným vymezením může velmi snadno docházet k diskriminaci každého uchazeče, který má jakoukoli provázanost s Čínskou lidovou republikou (bez ohledu na konkrétní společnost), neboť je mu tímto již od počátku – a bez dalšího – zamezeno v účasti ve výběrovém řízení.[9] Slovní spojení „nečínského výrobce“ může totiž prakticky vyloučit jakéhokoli výrobce, jehož sídlem je Čínská lidová republika (Varování je zaměřeno pouze proti dvěma konkrétním společnostem) nebo například i pouhá národnostní souvislost s některým ze statutárních orgánů, a to bez ohledu na výsledky faktického posouzení, zda skutečně ten který konkrétní výrobek přináší rizika zamýšlená Varováním.

Závěr

Lze uzavřít, že má-li zadávací řízení všem případným dodavatelům garantovat rovné zacházení, pak nemůže zadavatel formulovat zadávací podmínky tak, že již předem z výběrového řízení vyloučí bez dalšího jakéhokoli dodavatele, jehož výrobek pochází z konkrétní země. Takovým postupem zadavatel případné dodavatele připraví o možnost řádného a objektivního hodnocení, zda skutečně jejich výrobek může být způsobilým reálného bezpečnostního rizika či nikoli.  Podobný důsledek přitom může mít i podmínka znevýhodňující určitý subjekt, např. již zmíněný požadavek na zdvojení používaných zařízení. Zadavatel by měl přistupovat ke všem případným dodavatelům zásadně stejně, ctít principy rovného zacházení a především všem poskytnout možnost, aby v průběhu řádného výběrového řízení doložili, že všechny požadované bezpečnostní podmínky splňují.  Zadavatel by také měl vždy volit řešení, které bude při zachování jeho povinností pro hospodářskou soutěž nejméně omezující.

V opačném případě by nutně docházelo k nezákonnému omezování hospodářské soutěže a tím k poškození dotčených subjektů, kteří by se poté mohli mimo jiné domáhat náhrady případně způsobené škody.

Mgr. Petr Motyčka,
advokát

JUDr. Josef Sklenička, Ph.D.,
advokátní koncipient