018-108/2026 SID – Slovenska izvozna in razvojna banka, d. d.

Sklep

Državna revizijska komisija za revizijo postopkov oddaje javnih naročil (v nadaljevanju: Državna revizijska komisija) je na podlagi 39. in 70. člena Zakona o pravnem varstvu v postopkih javnega naročanja (Uradni list RS, št. 43/2011 s sprem.; v nadaljevanju: ZPVPJN) v senatu Andraža Žvana kot predsednika senata ter Sama Červeka in Marka Medveda kot članov senata v postopku pravnega varstva pri oddaji javnega naročila »Zagotavljanje storitev fiksne in mobilne telefonije, dobava mobilnih naprav, zakup internetnih linij z DDoS zaščito, vzpostavitev internetnega priključka na rezervni lokaciji ter izvajanje storitev …« in na podlagi zahtevka za revizijo, ki ga je vložil vlagatelj A1 Slovenija, telekomunikacijske storitve, d. d., Ljubljana (v nadaljevanju: vlagatelj), ki ga zastopa Odvetniška pisarna Mužina, Žvipelj in partnerji, d. o. o., Ljubljana (v nadaljevanju: pooblaščenec), zoper ravnanje naročnika SID – Slovenska izvozna in razvojna banka, d. d., Ljubljana (v nadaljevanju: naročnik), 22. 9. 2026

odločila:

1. Zahtevek za revizijo se zavrne.

2. Vlagateljeva zahteva za povrnitev stroškov se zavrne.

Obrazložitev:

Obrazložitev:

Vlagatelj je v postopku oddaje javnega naročila:
− objava obvestila o naročilu 8. 6. 2026 na portalu javnih naročil, pod št. objave JN004522/2026-EUe16/01, in 8. 6. 2026 v Dodatku k Uradnemu listu Evropske unije, pod št. objave 390638-2026,
− objava obvestila o naročilu – popravek 22. 6. 2026 na portalu javnih naročil, pod št. objave JN004522/2026-EUe16/01-P01, in 22. 6. 2026 v Dodatku k Uradnemu listu Evropske unije, pod št. objave 428112-2026,
− objava obvestila o naročilu – popravek 25. 6. 2026 na portalu javnih naročil, pod št. objave JN004522/2026-EUe16/01-P02, in 25. 6. 2026 v Dodatku k Uradnemu listu Evropske unije, pod št. objave 433393-2026,
− objava obvestila o naročilu – popravek 29. 6. 2026 na portalu javnih naročil, pod št. objave JN004522/2026-EUe16/01-P03, in 29. 6. 2026 v Dodatku k Uradnemu listu Evropske unije, pod št. objave 442563-2026,
ki ga naročnik kot enotno javno naročilo (brez delitve na sklope) (točka C.1 obvestila o javnem naročilu – popravek 3) vodi po odprtem postopku (točka B.1 obvestila o javnem naročilu – popravek 3), 6. 7. 2026 na portalu eRevizija, kar je pred potekom roka za predložitev ponudb, kot ga je naročnik sprva določil (7. 7. 2026 do 11. ure; točka B.6 obvestila o javnem naročilu), vložil zahtevek za revizijo z dne 6. 7. 2026 in ob uveljavljanju povrnitve stroškov predlagal, da »se razveljavi objava javnega naročila in dokumentacija v zvezi z oddajo javnega naročila […] s spremembami«, saj:
− je naročnik dokumentacijo v zvezi z oddajo javnega naročila v posameznih delih določil neskladno z Uredbo (EU) 2022/2554 Evropskega parlamenta in Sveta z dne 14. decembra 2022 o digitalni operativni odpornosti za finančni sektor in spremembi uredb (ES) št. 1060/2009, (EU) št. 648/2012, (EU) št. 600/2014, (EU) št. 909/2014 in (EU) 2016/1011 (UL 333/1 z dne v nadaljevanju: Uredba DORA), kar vlagatelju preprečuje pravilno oblikovanje ponudbene cene,
− zaradi tako oblikovane dokumentacije v zvezi z oddajo javnega naročila vlagatelj ne more zanesljivo oceniti pogodbenega tveganja,
− je naročnik povzročil, da je vlagatelj postavljen v neenakopraven položaj v primerjavi s tistimi gospodarski subjekti, ki bi obveznosti, ki jih je določil naročnik, razumeli ožje in jih zato ne bi vračunali v pogodbeno ceno, zaradi česar ponudbe ne bi bile pripravljene na podlagi enakih predpostavk,
− je vlagatelj izpostavljen tveganju, da bo naročnik šele po oddaji ponudb ali med izvajanjem pogodbe obravnaval določene subjekte kot podizvajalce,
− je zaradi nerazdelitve javnega naročila na sklope prisiljen obravnavati kot enoten posel tudi dobavo mobilnih aparatov, ki so po naravi stvari blago, za ta del pa obstaja drugačna dobaviteljska, cenovna in garancijska logika kot za storitve elektronskih komunikacij.

Naročnik je z dokumentom »Odločitev« z dne 15. 7. 2026, ki ga je vložil 16. 7. 2026 na portalu eRevizija, zahtevek za revizijo in zahtevo za povrnitev stroškov zavrnil. Naročnik je med drugim predlagal, da Državna revizijska komisija pridobi stališče Banke Slovenije.

Naročnik je 16. 7. 2026 prek portala eRevizija Državni revizijski komisiji posredoval zahtevek za revizijo in dokumentacijo.

Vlagatelj se je z vlogo z dne 21. 7. 2026, ki jo je vložil 21. 7. 2026 na portalu eRevizija, opredelil do navedb naročnika v odločitvi o zahtevku za revizijo in pojasnil, zakaj se z njimi ne strinja. Vlagatelj je uveljavljal povrnitev nadaljnjih stroškov.

Državna revizijska komisija najprej pojasnjuje, da je naročnik samostojen pri identificiranju svojih potreb, ZPVPJN pa Državni revizijski komisiji ne daje pooblastil, da bi ugotavljala, ali je naročnik pravilno ugotovil svoje potrebe. Ima pa Državna revizijska komisija pooblastila, da ugotavlja, ali je naročnik upošteval predpise o javnem naročanju, ko se je odločil, da za izpolnitev teh svojih potreb poišče pogodbeno stranko. Državna revizijska komisija zato lahko v mejah pooblastil, ki jih ima na podlagi ZPVPJN, ugotavlja, ali je naročnik ravnal skladno s pravili in temeljnimi načeli javnega naročanja. Državna revizijska komisija zato v tem smislu ugotavlja, da ni potrebno izvajati dokaza s pridobivanjem stališča Banke Slovenije, »ali je naročnik zavezan izvajati storitve glede na zakonodajo v obsegu, kot je to opredelil v javnem naročilu«. Če bi bilo ta dokazni predlog treba razumeti tudi tako, da bi se Banka Slovenije opredeljevala do (ne)zakonitosti naročnikovega ravnanja, mora Državna revizijska komisija kot neprimeren zavrniti ta naročnikov predlog, saj pridobivanje stališča Banke Slovenije ne bi bilo vezano na razjasnjevanje dejanskega stanja (torej ugotavljanje dejstev), temveč bi pomenilo razreševanje pravnih vprašanj, za katera in le tista, ki so pravno relevantna z vidika ZPVPJN za rešitev zadeve, je med revizijskim postopkom pristojna Državna revizijska komisija. Čeprav bi bilo treba razumeti, da je glede na člen 46 Uredbe DORA Banka Slovenije pristojna za nadzor nad izvajanjem Uredbe DORA pri naročniku, se pristojnosti Državne revizijske komisije omejujejo le na vidike, povezane z javnim naročanjem (prvi odstavek 60. člena ZPVPJN), ne pa na siceršnji nadzor nad ravnanjem naročnika po Uredbi DORA, saj Državna revizijska komisija ni eden od organov, določenih v členu 46 Uredbe DORA. Državna revizijska komisija zato tudi ni mogla na splošno ugotavljati, ali so naročnikova ravnanja skladna z Uredbo DORA, temveč, ali so naročnikova ravnanja, ki jih je izpodbijal vlagatelj, skladna s tistimi obveznostmi, ki jih naročniku nalagajo predpisi o javnem naročanju. Postopek pravnega varstva po ZPVPJN tako tudi ne more biti postopek, ki bi prevzemal ugotavljanje morebitnih kršitev, ki se ugotavljajo v drugih postopkih, posebej določenih za njihovo ugotavljanje.

Po pregledu posredovane dokumentacije ter preučitvi navedb vlagatelja in naročnika je Državna revizijska komisija na podlagi razlogov, navedenih v nadaljevanju, odločila, kot izhaja iz izreka tega sklepa.

Vlagatelj je pred potekom roka za predložitev ponudb, kot ga je naročnik sprva določil (7. 7. 2026 do 11. ure; točka B.6 obvestila o javnem naročilu), vložil zahtevek za revizijo z dne 6. 7. 2026 in uveljavljal, da je naročnik storil več kršitev v »razpisni fazi«, čemur je naročnik nasprotoval. Pri tem se je naročnik v odločitvi o zahtevku za revizijo oprl tudi na pravno nepomembno dejstvo, da je prejel dve ponudbi. Prejem ponudb namreč ne odgovori na vprašanje, ali je naročnik pripravil dokumentacijo v zvezi z oddajo javnega naročila, ki je skladna s predpisi o javnem naročanju, temveč razkriva le dejstvo, ali se je do poteka roka za prejem ponudb kakšen gospodarski subjekt odzval s ponudbo. Poleg tega to tudi ne razkriva, ali bi bilo mogoče katero ponudbo izbrati. In tudi v primeru, če bi bilo mogoče katero od prejetih ponudbo izbrati, to še vedno ne bi odgovorilo na osnovo vprašanje – ali je naročnik pripravil dokumentacijo v zvezi z oddajo javnega naročila, ki je skladna s predpisi o javnem naročanju.

Kot je razvidno s portala javnih naročil, je naročnik objavil obvestilo o javnem naročilu, tri popravke obvestila o javnem naročilu, hkrati pa je med 12. in 24. 6. 2026 pisno odgovarjal na vprašanja gospodarskih subjektov, s čimer so te informacije postale del dokumentacije v zvezi z oddajo javnega naročila (tretja poved iz prvega odstavka 67. člena Zakona o javnem naročanju (Uradni list RS, št. 91/2015 s sprem.; v nadaljevanju: ZJN-3)). Naročnik je z objavo obvestila o naročilu – popravek 29. 6. 2026 na portalu javnih naročil, pod št. objave JN004522/2026-EUe16/01-P03, in 29. 6. 2026 v Dodatku k Uradnemu listu Evropske unije, pod št. objave 442563-2026, zagotovil objavo tudi (tretjega zaporednega) čistopisa dokumentacije v zvezi z oddajo javnega naročila (gl. točko B.2 obvestila o naročilu – popravek), ki časovno sledi tudi vsem objavljenim odgovorom. Državna revizijska komisija je tretji zaporedni časopis upoštevala pri odločanju o zadevi.

Predmet javnega naročila je zagotavljanje storitev fiksne in mobilne telefonije, dobava mobilnih naprav, zakup internetnih linij z DDoS zaščito, vzpostavitev internetnega priključka na rezervni lokaciji ter izvajanje storitev SMS obveščanja (točka B.1 obvestila o javnem naročilu – popravek 3). Že iz tega kratkega opisa predmeta javnega naročila izhaja, da to javno naročilo vključuje tako javno naročilo blaga (npr. dobava mobilnih naprav) kot javno naročilo storitev (npr. storitve fiksne in mobilne telefonije). Z vidika ZJN-3 se to javno naročilo upošteva kot mešano javno naročilo v smislu prvega odstavka 25. člena.

Naročnik je predmet javnega naročila podrobneje predstavil v točki 15.4 dokumentacije v zvezi z oddajo javnega naročila, naslovljeni kot »Specifikacije« (str. 24–41), pripravil pa je tudi vzorec pogodbe (točka 15.5 dokumentacije v zvezi z oddajo javnega naročila; str. 42–61).

Točka 15.4 dokumentacije v zvezi z oddajo javnega naročila vsebuje tudi podtočko 7, v kateri je naročnik navedel:
»Naročnik je pri oddaji javnega naročila kot subjekt finančnega subjekta, kot subjekt finančnega sektorja zavezan upoštevati in zagotoviti skladnost z:
- Uredbo (EU) 2022/2554 Evropskega parlamenta in Sveta z dne 14. decembra 2022 o digitalni operativni odpornosti za finančni sektor in spremembi uredb (ES) št. 1060/2009, (EU) št. 648/2012, (EU) št. 600/2014, (EU) št. 909/2014 in (EU) 2016/1011,
- Izvedbeno uredbo Komisije (EU) 2024/2956 z dne 29. novembra 2024 o določitvi izvedbenih tehničnih standardov za uporabo Uredbe (EU) 2022/2554 Evropskega parlamenta in Sveta v zvezi s standardnimi predlogami za register informacij,
- Delegirano uredbo Komisije (EU) 2024/1773 z dne 13. marca 2024 o dopolnitvi Uredbe (EU) 2022/2554 Evropskega parlamenta in Sveta v zvezi z regulativnimi tehničnimi standardi za nadaljnjo opredelitev podrobne vsebine politike v zvezi s pogodbenimi dogovori o uporabi storitev IKT, ki podpirajo kritične ali pomembne funkcije in ki jih opravljajo tretji ponudniki storitev IKT,
- Delegirano uredbo Komisije (EU) 2025/532 z dne 24. marca 2025 o dopolnitvi Uredbe (EU) 2022/2554 Evropskega parlamenta in Sveta v zvezi z regulativnimi tehničnimi standardi za opredelitev elementov, ki jih mora finančni subjekt določiti in oceniti pri oddaji v podizvajanje storitev IKT, ki podpirajo kritične ali pomembne funkcije,
- Uredbo (EU) št. 1093/2010 Evropskega parlamenta in Sveta z dne 24. novembra 2010 o ustanovitvi Evropskega nadzornega organa (Evropski bančni organ) in o spremembi Sklepa št. 716/2009/ES ter razveljavitvi Sklepa Komisije 2009/78/ES na podlagi katere so bile izdane Smernice o zunanjem izvajanju (EBA/GL/2019/02) in Smernice EBA o upravljanju tveganj, povezanih z IKT in varnostjo (EBA/GL/2019/04) (v nadaljevanju: zahteve DORA).
vendar izključno v obsegu, ki je glede na predmet naročila potreben.

Ob tem naročnik poudarja, da se zahteve, povezane z DORA uporabljajo le za tisti del izvajalčevih storitev, sistemov, dokumentacij, virov in podatkov, ki so neposredno povezani s predmetom naročila. Naročnik ne bo zahteval dostopa do celotnega poslovanja ponudnika, temveč le do tistega dela, ki ga zahteva DORA v povezavi z izvajanjem predmeta javnega naročila. Naročnik bo vse zahteve povezane z DORA izvajal sorazmerno glede na izdelano oceno tveganj ter omejeno na predmet javnega naročila. Naročnik bo pri zahtevah povezanih z DORA spoštoval poslovne skrivnosti in zaupne informacije ponudnikov ter tretjih oseb. Naročnik bo pri izpolnjevanju zahtev DORA, kjer bo primerno, kot dokazila o skladnosti upošteval standardizirane certifikate in obstoječa revizijska poročila.

Vse pravice naročnika in obveznosti izvajalca, ki izhajajo iz DORA in smernic EBA, se uporabljajo izključno v obsegu storitev, sistemov, dokumentacije, procesov in podatkov, ki so neposredno povezani z izvajanjem te pogodbe, ter v obsegu, ki je nujen za izpolnjevanje regulatornih obveznosti naročnika. Navedene zahteve ne dajejo naročniku pravice do splošnega vpogleda ali nadzora nad poslovanjem izvajalca izven okvira predmetne pogodbe.

Naročnik določa, da storitve mobilne telefonije, zakup internetnih linij z DDoS zaščito, vzpostavitev internetnega priključka na rezervni lokaciji ter izvajanje storitev SMS obveščanja predstavljajo IKT storitve oz. storitev IKT, ki podpirajo kritične oziroma pomembne funkcije naročnika kot so npr. Kreditiranje, Zakladništvo, Računovodsko evidentiranje in poročanje, Upravljanje varnosti, Upravljanje tveganj ipd., ki so kritične oziroma pomembne za izpolnjevanje naročnikovih regulatornih zahtev, naročnikovo finančno stabilnost, vpliva na naročnikove stranke in/ali odvisnosti naročnika od tretjih strani/zunanjih izvajalcev. Naročnik izjavlja, da storitve fiksne telefonije ne predstavljajo IKT storitev oz. storitev IKT.

Lokacija, kjer se bodo podatki obdelovali in shranjevali
Izvajalec se zavezuje, da bo vse pogodbene funkcije in storitve IKT, ki jih bo izvajala ali oddal v podizvajanje, vključno z lokacijami, kjer se bodo podatki obdelovali in shranjevali, izvajal na ozemlju Evropske unije.

Pravica do dostopa inšpekcijskih pregledov in revizij
Naročnik obvešča izvajalca, da bo skladno z uredbo DORA (28. člen, točka 6.) uveljavljal pravico do dostopa, inšpekcijskih pregledov in revizij. Pogostost revizij in inšpekcijskih pregledov ter področja, ki se jih revidira, naročnik opredeli na podlagi ocene tveganj (pred in med tekom pogodbenega odnosa). Revidiranje bo potekalo ob upoštevanju splošno sprejetih revizijskih standardov v skladu z vsemi nadzornimi navodili o uporabi in vključitvi takih revizijskih standardov.

Obseg pravice do dostopa, inšpekcijskih pregledov in revizij je omejena na pogodbeno relevantne dele izvajalčevega delovanja in se izvaja na način, ki najmanj obremenjuje izvajalca.

Izvedba storitev IKT s podizvajalci
Izvajalec mora v primeru izvedbe storitev IKT s podizvajalci, pri izbiri podizvajalca oceniti vsa tveganja, povezana z lokacijo podizvajalca, ki bo zagotavljal storitve IKT ter tveganja, povezana z matično družbo in lokacijo, od koder se bo storitev IKT zagotavljala.
Izvajalec je dolžan svoje pogodbene obveznosti glede spremljanja in poročanja na podlagi pogodbe z naročnikom pisno prenesti na podizvajalca, ki zagotavlja storitev IKT ter le-to naročniku na zahtevo tudi izkazati.

Izvajalec mora zagotoviti kontinuiteto IKT storitev, ki so predmet pogodbe in so dane v podizvajanje v celotni verigi podizvajalcev.

Izvajalec se zavezuje, da bo v pisnem dogovoru s podizvajalcem, določil varnostne standarde IKT in dodatne varnostne zahteve, ki bodo zagotavljale enakovredno raven varnosti pri izvajanju storitev, ki so predmet pogodbe, kot jo mora zagotavljati izvajalec.«

Kot je razvidno iz točke 15.4.7 dokumentacije v zvezi z oddajo javnega naročila, se je naročnik skliceval na Uredbo DORA in nekatere druge predpise Evropske unije. Ureditev iz teh predpisov je torej naročniku služila kot osnova za oblikovanje tehničnih specifikacij. Tehnične specifikacije določajo zahtevane značilnosti gradnje, storitve ali blaga (druga poved iz prvega odstavka 68. člena ZJN-3).

Uredba DORA skladno s členom 1(1) »za doseganje visoke skupne stopnje digitalne operativne odpornosti« »določa enotne zahteve glede varnosti omrežnih in informacijskih sistemov, ki podpirajo poslovne procese finančnih subjektov, kot sledi:
(a) zahteve, ki veljajo za finančne subjekte glede:
(i) obvladovanja tveganj na področju informacijske in komunikacijske tehnologije (IKT);
(ii) poročanja pristojnim organom o večjih incidentih, povezanih z IKT, in prostovoljnega obveščanja pristojnih organov o pomembnih kibernetskih grožnjah;
(iii) poročanja finančnih subjektov iz člena 2(1), točke (a) do (d), pristojnim organom o večjih operativnih ali varnostnih incidentih, povezanih s plačili;
(iv) testiranja digitalne operativne odpornosti;
(v) izmenjave informacij in obveščevalnih podatkov v zvezi s kibernetskimi grožnjami in ranljivostmi;
(vi) ukrepov za dobro obvladovanje tveganj tretjih strani na področju IKT;
(b) zahteve v zvezi s pogodbenimi dogovori, sklenjenimi med tretjimi ponudniki storitev IKT in finančnimi subjekti;
(c) pravila za vzpostavitev in izvajanje okvira nadzora za ključne tretje ponudnike storitev IKT, ko opravljajo storitve za finančne subjekte;
(d) pravila o sodelovanju med pristojnimi organi in pravila o nadzoru in izvrševanju s strani pristojnih organov v zvezi z vsemi zadevami, zajetimi v tej uredbi.«

Uredba DORA se uporablja za finančne subjekte (gl. člen 2(2) Uredbe DORA), ki so določeni v členu 2(1) Uredbe DORA, med katere spada tudi naročnik, kar med vlagateljem in naročnikom tudi ni sporno.

Skladno s členom 3(21) Uredbe DORA pojem »storitve IKT« pomeni »digitalne in podatkovne storitve, ki se prek sistemov IKT neprekinjeno opravljajo za enega ali več notranjih ali zunanjih uporabnikov, vključno s strojno opremo kot storitvijo in storitvami v zvezi s strojno opremo, kar vključuje zagotavljanje tehnične podpore s tem, da ponudnik strojne opreme posodablja programsko ali strojno programsko opremo, razen tradicionalnih analognih telefonskih storitev«.

Skladno s členom 3(22) Uredbe DORA pojem »kritična ali pomembna funkcija« pomeni »funkcijo, katere motnja bi bistveno škodovala finančni uspešnosti finančnega subjekta ali trdnosti ali neprekinjenosti njegovih storitev in dejavnosti, oziroma katere prekinjeno, pomanjkljivo ali neuspešno izvajanje bi bistveno oviralo finančni subjekt, da neprekinjeno izpolnjuje pogoje in obveznosti iz njegovega pooblastila ali druge obveznosti v skladu z veljavnim pravom o finančnih storitvah«.

Člena 28 in 30 Uredbe DORA, na katera se je skliceval vlagatelj, sta vključena v oddelek I z naslovom Ključna načela za dobro obvladovanje tveganj tretjih strani na področju IKT poglavja V z naslovom Obvladovanje tveganj tretjih strani na področju IKT. V členu 28 Uredbe DORA so določena »Splošna načela«, v členu 30 Uredbe DORA pa »Ključne pogodbene določbe«.

Finančni subjekti izvajajo pravila iz poglavja II Uredbe DORA v skladu z načelom sorazmernosti, pri tem pa upoštevajo svojo velikost in splošni profil tveganja ter naravo, obseg in kompleksnost svojih storitev, dejavnosti in poslovanja (člen 4(1) Uredbe DORA), poleg tega pa uporabljajo poglavja III, IV in V, oddelek I, sorazmerno s svojo velikostjo in splošnim profilom tveganja ter naravo, obsegom in kompleksnostjo svojih storitev, dejavnosti in poslovanja, kot je posebej določeno v ustreznih pravilih iz navedenih poglavij (člen 4(2) Uredbe DORA). Pristojni organi pri pregledu skladnosti okvira za obvladovanje tveganj na področju IKT na podlagi poročil, predloženih na zahtevo pristojnih organov na podlagi člena 6(5) in člena 16(2) Uredbe DORA, preučijo, ali finančni subjekti uporabljajo načelo sorazmernosti (člen 4(3) Uredbe DORA). Iz teh pravnih podlag je sicer razvidna naročnikova dolžnost upoštevati načelo sorazmernosti, vendar z vidika načela sorazmernosti, ki ga ureja Uredba DORA, pri čemer Državna revizijska komisija ni organ iz člena 4(3) Uredbe DORA in tako nima pristojnosti za nadzor načela sorazmernosti po Uredbi DORA. Ima pa Državna revizijska komisija glede na ZPVPJN tudi pri tem javnem naročilu pristojnost ugotavljati skladnost z načelom sorazmernosti z vidika predpisov o javnem naročanju.

Člen 28 Uredbe DORA se glasi:
»1. Finančni subjekti obvladujejo tveganja tretjih strani na področju IKT kot sestavni del tveganj na področju IKT v sklopu okvira za obvladovanje tveganj na področju IKT iz člena 6(1) v skladu z naslednjimi načeli:
(a) finančni subjekti, ki imajo za vodenje svojih poslovnih dejavnosti sklenjene pogodbene dogovore za uporabo storitev IKT, so ves čas v celoti odgovorni za spoštovanje in izpolnjevanje vseh obveznosti iz te uredbe in veljavnega prava o finančnih storitvah;
(b) finančni subjekti obvladujejo tveganja tretjih strani na področju IKT glede na načelo sorazmernosti, pri čemer upoštevajo:
(i) naravo, obseg, zapletenost in pomen odvisnosti, povezanih z IKT;
(ii) tveganja, ki izhajajo iz pogodbenih dogovorov o uporabi storitev IKT, sklenjenih s tretjimi ponudniki storitev IKT, ob upoštevanju kritičnosti ali pomena posamezne storitve, postopka ali funkcije ter možnega učinka na neprekinjenost in dostopnost finančnih storitev in dejavnosti na individualni in skupinski ravni.
2. Finančni subjekti, ki niso subjekti iz člena 16(1), prvi pododstavek, in niso mikropodjetja, v sklopu svojega okvira za obvladovanje tveganj na področju IKT sprejmejo in redno pregledujejo strategijo o tveganju tretjih strani na področju IKT, pri čemer upoštevajo večdobaviteljsko strategijo iz člena 6(9), kadar je ustrezno. Strategija o tveganju tretjih strani na področju IKT vključuje politiko o uporabi storitev IKT, ki podpirajo kritične ali pomembne funkcije, ki jih opravljajo tretji ponudniki storitev IKT, in se uporablja na posamični podlagi in, kadar je ustrezno, na subkonsolidirani in konsolidirani podlagi. Upravljalni organ na podlagi ocene splošnega profila tveganja finančnega subjekta ter obsega in kompleksnosti njegovih poslovnih storitev redno pregleduje tveganja, identificirana v zvezi s pogodbenimi dogovori o uporabi storitev IKT, ki podpirajo kritične ali pomembne funkcije.
3. Finančni subjekti v sklopu svojega okvira za obvladovanje tveganj na področju IKT na ravni subjekta ter na subkonsolidirani in konsolidirani ravni vzdržujejo in posodabljajo register informacij v zvezi z vsemi pogodbenimi dogovori o uporabi storitev IKT, ki jih opravljajo tretji ponudniki storitev IKT.
Pogodbeni dogovori iz prvega pododstavka se ustrezno dokumentirajo, pri čemer se razlikuje med tistimi, ki zajemajo storitve IKT, ki podpirajo kritične ali pomembne funkcije, in tistimi, ki ne zajemajo takih funkcij.
Finančni subjekti pristojnim organom vsaj enkrat letno poročajo o številu novih dogovorov o uporabi storitev IKT, kategorijah tretjih ponudnikov storitev IKT, vrsti pogodbenih dogovorov ter storitvah in funkcijah IKT, ki se opravljajo.
Finančni subjekti pristojnemu organu na njegovo zahtevo predložijo celoten register informacij ali, kot se zahteva, določene oddelke registra, skupaj z vsemi informacijami, za katere se meni, da so potrebne za učinkovit nadzor finančnega subjekta.
Finančni subjekti pravočasno obvestijo pristojni organ o kakršnem koli načrtovanem pogodbenem dogovoru o uporabi storitev IKT, ki podpirajo kritične ali pomembne funkcije, in o tem, kdaj je funkcija postala kritična ali pomembna.
4. Finančni subjekti pred sklenitvijo pogodbenega dogovora o uporabi storitev IKT:
(a) ocenijo, ali pogodbeni dogovor zajema uporabo storitev IKT, ki podpirajo kritično ali pomembno funkcijo;
(b) ocenijo, ali so izpolnjeni nadzorni pogoji za sklenitev pogodbenega dogovora;
(c) identificirajo in ocenijo vsa pomembna tveganja v zvezi s pogodbenim dogovorom, vključno z možnostjo, da lahko tak pogodbeni dogovor prispeva k povečanju tveganja koncentracije na področju IKT iz člena 29;
(d) opravijo skrben pregled potencialnih tretjih ponudnikov storitev IKT in s postopki izbire in ocenjevanja zagotovijo ustreznost tretjega ponudnika storitev IKT;
(e) identificirajo in ocenijo nasprotja interesov, ki jih lahko povzroči pogodbeni dogovor.
5. Finančni subjekti lahko sklepajo pogodbene dogovore samo s tretjimi ponudniki storitev IKT, ki izpolnjujejo standarde informacijske varnosti. Kadar ti pogodbeni dogovori zadevajo kritične ali pomembne funkcije, finančni subjekti pred sklenitvijo dogovorov ustrezno upoštevajo, ali tretji ponudniki storitev IKT uporabljajo najnovejše in najkakovostnejše standarde informacijske varnosti.
6. Finančni subjekti pri uveljavljanju pravic do dostopa, inšpekcijskih pregledov in revizij pri tretjem ponudniku storitev IKT vnaprej določijo pogostost revizij in inšpekcijskih pregledov ter področja, ki jih je treba revidirati, na podlagi pristopa, ki temelji na tveganju, in ob upoštevanju splošno sprejetih revizijskih standardov v skladu z vsemi nadzornimi navodili o uporabi in vključitvi takih revizijskih standardov.
Kadar so pogodbeni dogovori o uporabi storitev IKT, sklenjeni s tretjimi ponudniki storitev IKT, tehnično zelo zapleteni, finančni subjekt preveri, ali imajo revizorji, ne glede na to, ali so to notranji ali zunanji revizorji oziroma skupine revizorjev, ustrezne spretnosti in znanje za učinkovito izvajanje ustreznih revizij in ocen.
7. Finančni subjekti zagotovijo, da se pogodbeni dogovori o uporabi storitev IKT lahko prekinejo v kateri koli od naslednjih okoliščin:
(a) znatna kršitev veljavnih zakonov, predpisov ali pogodbenih pogojev s strani tretjega ponudnika storitev IKT;
(b) okoliščine, identificirane med spremljanjem tveganja tretjih strani na področju IKT, za katere se šteje, da lahko spremenijo izvajanje funkcij, opravljenih na podlagi pogodbenega dogovora, vključno s pomembnimi spremembami, ki vplivajo na dogovor ali položaj tretjega ponudnika storitev IKT;
(c) dokazane šibkosti tretjega ponudnika storitev IKT v zvezi z njegovim splošnim obvladovanjem tveganj na področju IKT in zlasti v načinu, kako zagotavlja razpoložljivost, avtentičnost, celovitost in zaupnost podatkov, bodisi osebnih ali kako drugače občutljivih podatkov bodisi neosebnih podatkov;
(d) kadar pristojni organ zaradi pogojev zadevnega pogodbenega dogovora ali okoliščin v zvezi z njim ne more več učinkovito nadzirati finančnega subjekta.
8. Finančni subjekti vzpostavijo izhodne strategije za storitve IKT, ki podpirajo kritične ali pomembne funkcije. V izhodnih strategijah se upoštevajo tveganja, ki se lahko pojavijo na ravni tretjih ponudnikov storitev IKT, zlasti njihovo morebitno prenehanje delovanja, poslabšanje kakovosti opravljenih storitev IKT, kakršne koli motnje v poslovanju zaradi neprimernega ali neuspešnega opravljanja storitev ali kakršno koli pomembno tveganje, ki izhaja iz ustrezne in stalne uporabe zadevne storitve IKT, ali odpoved pogodbenih dogovorov s tretjimi ponudniki storitev IKT v kateri koli od okoliščin iz odstavka 7.
Finančni subjekti zagotovijo, da lahko prekinejo pogodbene dogovore brez:
(a) motenj svojih poslovnih dejavnosti;
(b) omejevanja skladnosti z zakonskimi zahtevami;
(c) škode za neprekinjenost in kakovost storitev, opravljenih za stranke.
Izhodni načrti morajo biti izčrpni, dokumentirani ter morajo biti v skladu z merili, določenimi v členu 4(2), zadostno testirani in redno pregledovani.
Finančni subjekti identificirajo alternativne rešitve in oblikujejo prehodne načrte, ki jim omogočajo, da tretjemu ponudniku storitev IKT odvzamejo pogodbene storitve IKT in ustrezne podatke ter jih varno in celovito prenesejo k alternativnim ponudnikom ali jih ponovno vključijo v lastno podjetje.
Finančni subjekti vzpostavijo ukrepe ob nepredvidljivih dogodkih za ohranitev neprekinjenosti poslovanja v primeru okoliščin iz prvega pododstavka.
9. Evropski nadzorni organi prek Skupnega odbora pripravijo osnutke izvedbenih tehničnih standardov za vzpostavitev standardnih predlog za namene registra informacij iz odstavka 3, vključno z informacijami, ki so skupne vsem pogodbenim dogovorom o uporabi storitev IKT. Evropski nadzorni organi te osnutke izvedbenih tehničnih standardov Komisiji predložijo do 17. januarja 2024.
Na Komisijo se prenese pooblastilo za sprejetje izvedbenih tehničnih standardov iz prvega pododstavka v skladu s členom 15 uredb (EU) št. 1093/2010, (EU) št. 1094/2010 in (EU) št. 1095/2010.
10. Evropski nadzorni organi prek Skupnega odbora pripravijo osnutke regulativnih tehničnih standardov, da nadalje opredelijo podrobno vsebino politike iz odstavka 2 v zvezi s pogodbenimi dogovori o uporabi storitev IKT, ki podpirajo kritične ali pomembne funkcije, ki jih opravljajo tretji ponudniki storitev IKT.
Evropski nadzorni organi pri oblikovanju navedenih osnutkov regulativnih tehničnih standardov upoštevajo velikost in splošni profil tveganja finančnega subjekta ter naravo, obseg in kompleksnost njegovih storitev, dejavnosti in poslovanja. Evropski nadzorni organi te osnutke regulativnih tehničnih standardov Komisiji predložijo do 17. januarja 2024.
Na Komisijo se prenese pooblastilo za dopolnitev te uredbe s sprejetjem regulativnih tehničnih standardov iz prvega pododstavka v skladu s členi 10 do 14 uredb (EU) št. 1093/2010, (EU) št. 1094/2010 in (EU) št. 1095/2010.«

Člen 30 Uredbe DORA se glasi:
»1. Pravice in obveznosti finančnega subjekta in tretjega ponudnika storitev IKT se jasno dodelijo in določijo v pisni obliki. Celotna pogodba vključuje sporazume o ravni storitve in se dokumentira v enem pisnem dokumentu, ki je na voljo strankam v papirni obliki ali v dokumentu druge oblike, ki jo je mogoče prenesti in trajna in dostopna.
2. V pogodbene dogovore o uporabi storitev IKT se vključijo vsaj naslednji elementi:
(a) jasen in popoln opis vseh funkcij in storitev IKT, ki jih mora opraviti tretji ponudnik storitev IKT, z navedbo, ali je dovoljeno oddajanje storitve IKT, ki podpira kritične ali pomembne funkcije, ali njenih bistvenih delov v podizvajanje in, če je dovoljeno, pogoje, ki veljajo za tako podizvajanje;
(b) lokacije, in sicer regije in države, kjer se opravljajo pogodbene funkcije in storitve IKT, oddane v izvajanje ali podizvajanje, in obdelovali podatki, vključno z lokacijo hrambe, ter zahtevo, da tretji ponudnik storitev IKT vnaprej obvesti finančni subjekt, če namerava spremeniti te lokacije;
(c) določbe o razpoložljivosti, avtentičnosti, celovitosti in zaupnosti v zvezi z varstvom podatkov, vključno z osebnimi podatki;
(d) določbe o zagotavljanju dostopa, obnovitve in restavriranja osebnih in neosebnih podatkov v preprosto dostopni obliki, ki jih obdeluje finančni subjekt, v primeru insolventnosti, reševanja ali prenehanja poslovanja tretjega ponudnika storitev IKT ali v primeru odpovedi pogodbenih dogovorov;
(e) opisi ravni storitev, vključno z njihovimi posodobitvami in popravki;
(f) obveznost tretjega ponudnika storitev IKT, da v primeru incidenta, povezanega z IKT in s storitvijo IKT, ki se opravi za finančni subjekt, temu zagotovi pomoč brez dodatnih stroškov ali po predhodno določeni ceni;
(g) obveznost tretjega ponudnika storitev, da v celoti sodeluje s pristojnimi organi in organi za reševanje finančnega subjekta, vključno z osebami, ki jih ti imenujejo;
(h) pravice do odpovedi in povezani minimalni roki za odpoved pogodbenih dogovorov v skladu s pričakovanji pristojnih organov in organov za reševanje;
(i) pogoji sodelovanja tretjih ponudnikov storitev IKT v programih ozaveščanja o varnosti na področju IKT in usposabljanju na področju digitalne operativne odpornosti finančnih subjektov, v skladu s členom 13(6).
3. V pogodbene dogovore o uporabi storitev IKT, ki podpirajo kritične ali pomembne funkcije, se poleg elementov iz odstavka 2 vključi vsaj naslednje:
(a) celoviti opisi ravni storitev – tudi njihove posodobitve in popravki –, v katerih so določeni natančni kvantitativni in kvalitativni cilji uspešnosti znotraj dogovorjenih ravni storitev, da lahko finančni subjekt učinkovito spremlja storitve IKT in omogoči sprejetje ustreznih popravnih ukrepov brez nepotrebnega odlašanja, ko dogovorjene ravni storitev niso dosežene;
(b) odpovedni roki in obveznosti tretjega ponudnika storitev IKT za poročanje finančnemu subjektu, vključno z obveščanjem o spremembah, ki bi lahko pomembno vplivale na zmožnost tretjega ponudnika storitev IKT, da učinkovito opravlja storitve IKT, ki podpirajo kritične ali pomembne funkcije v skladu z dogovorjenimi ravnmi storitev;
(c) zahteve, da tretji ponudnik storitev IKT izvaja in testira poslovne načrte izrednih ukrepov ter vzpostavi varnostne ukrepe, orodja in politike na področju IKT, ki finančnemu subjektu zagotavljajo ustrezno raven varnosti za opravljanje storitev v skladu z njegovim regulativnim okvirom;
(d) obveznost tretjega ponudnika storitev IKT, da sodeluje in se v celoti udejstvuje pri penetracijskem testu na podlagi groženj, kot je navedeno v členih 26 in 27;
(e) pravica do stalnega spremljanja uspešnosti tretjega ponudnika storitev IKT, ki vključuje naslednje:
(i) neomejene pravice do dostopa, inšpekcijskega pregleda in revizije s strani finančnega subjekta ali imenovane tretje strani in pristojnega organa ter pravico, da pridobijo kopije ustrezne dokumentacije na kraju samem, če so kritične za poslovanje tretjih ponudnikov storitev IKT, pri čemer drugi pogodbeni dogovori ali izvedbene politike ne ovirajo ali omejujejo učinkovitega uveljavljanja teh pravic;
(ii) pravico, da se zahtevajo alternativne ravni zanesljivosti, če so prizadete pravice drugih strank;
(iii) obveznost tretjega ponudnika storitev IKT, da bo v celoti sodeloval pri inšpekcijskih pregledih in revizijah na kraju samem, ki jih izvajajo pristojni organi, glavni nadzornik, finančni subjekt ali imenovana tretja stran, ter
(iv) obveznost, da predloži podrobnosti o obsegu, zahtevanih postopkih in pogostosti teh inšpekcijskih pregledov in revizij;
(f) izhodne strategije, zlasti določitev obveznega ustreznega prehodnega obdobja:
(i) med katerim bo tretji ponudnik storitev IKT še naprej opravljal ustrezne funkcije ali storitve IKT, da bi zmanjšal tveganje motenj pri finančnem subjektu ali zagotovil njihovo učinkovito reševanje in prestrukturiranje;
(ii) ki finančnemu subjektu omogoča, da preide na drugega tretjega ponudnika storitev IKT ali na rešitve v okviru lastnega podjetja, ki so skladne s kompleksnostjo opravljene storitve.
Z odstopanjem od točke (e) se lahko tretji ponudnik storitev IKT in finančni subjekt, ki je mikropodjetje, dogovorita, da se lahko pravice finančnega subjekta do dostopa, inšpekcijskega pregleda in revizije prenesejo na neodvisno tretjo stran, ki jo imenuje tretji ponudnik storitev IKT, finančni subjekt pa lahko od tretje strani kadar koli zahteva informacije in zagotovila glede uspešnosti tretjega ponudnika storitev IKT.
4. Pri pogajanjih o pogodbenih dogovorih finančni subjekti in tretji ponudniki storitev IKT upoštevajo uporabo standardnih pogodbenih klavzul, ki jih javni organi oblikujejo za določene storitve.
5. Evropski nadzorni organi prek Skupnega odbora pripravijo osnutke regulativnih tehničnih standardov, da natančneje opredelijo elemente iz odstavka 2, točka (a), ki jih mora finančni subjekt določiti in oceniti pri oddaji storitev IKT, ki podpirajo kritične ali pomembne funkcije, v podizvajanje.
Evropski nadzorni organi pri oblikovanju navedenih osnutkov regulativnih tehničnih standardov upoštevajo velikost in splošni profil tveganja finančnega subjekta ter naravo, obseg in kompleksnost njegovih storitev, dejavnosti in poslovanja.
Evropski nadzorni organi te osnutke regulativnih tehničnih standardov Komisiji predloži do 17. julija 2024.
Na Komisijo se prenese pooblastilo za dopolnitev te uredbe s sprejetjem regulativnih tehničnih standardov iz prvega pododstavka v skladu s členi 10 do 14 uredb (EU) št. 1093/2010, (EU) št. 1094/2010 in (EU) št. 1095/2010.«

Vlagatelj je najprej – v 1. točki III. poglavja zahtevka za revizijo – navedel, da:
− je predmet javnega naročila mogoče deliti, kar potrjuje dosedanja praksa pri naročniku, ko je mobilno telefonijo oddajal na podlagi postopka naročila male vrednosti, za katerega je bilo 14. 4. 2022 objavljeno obvestilo o javnem naročilu, pod št. JN002446/2022-W01, stacionarno telefonijo pa je nabavljal na podlagi povpraševanja EN-0302/2023,
− sicer lahko sodeluje pri tem javnem naročilu, vendar mora zaradi načina, na katerega je naročnik oblikoval dokumentacijo v zvezi z oddajo javnega naročila, že pred oddajo ponudbe prevzeti nejasna pogodbena tveganja, katerih dejanskega obsega in stroškovnih posledic ni mogoče vnaprej zanesljivo oceniti, naročnikove zahteve pa imajo odvračilno naravo ter vlagatelju preprečujejo oddajo konkurenčne in dopustne ponudbe,
− ta tveganja izvirajo zlasti iz naročnikovega stališča, da naj bi storitve mobilne telefonije, zakup internetnih linij z DDoS zaščito, vzpostavitev internetnega priključka na rezervni lokaciji in izvajanje storitev SMS obveščanja predstavljale IKT storitve, ki podpirajo kritične oziroma pomembne funkcije naročnika in naj bi zato zanje veljal strožji pogodbeni režim po členu 30(3) Uredbe DORA,
− naročnik ni izkazal odločilnega pogoja za uporabo člena 30(3) Uredbe DORA, tj. da vsaka posamezna konkretna IKT storitev podpira konkretno kritično ali pomembno funkcijo naročnika po členu 3(22) Uredbe DORA, saj je navedel le splošno oznako, da določene storitve podpirajo pomembne funkcije banke, ni pa navedel, katera storitev podpira katero funkcijo, zakaj je ta funkcija v konkretnem primeru kritična ali pomembna, kakšen bistveni učinek bi imela motnja te funkcije in katere dodatne pogodbene zahteve naj se zato uporabljajo,
− če naročnik za posamezno storitev uporabi strožji pogodbeni režim iz člena 30(3) Uredbe DORA, to za ponudnika pomeni prevzem konkretnih in potencialno obsežnih pogodbenih obveznosti, kar vpliva na ponudbeno ceno,
− Uredba DORA v členu 3(21) opredeljuje IKT storitve, kar je prva presoja, nato pa za strožji pogodbeni režim iz člena 30(3) zahteva še drugo presojo, in sicer, ali konkretna IKT storitev podpira kritično ali pomembno funkcijo finančnega subjekta, zato ne zadostuje naročnikova pavšalna navedba,
− je bil naročnik na navedeno opozorjen (vprašanje, objavljeno 24. 6. 2026 ob 16.12), vendar z odgovorom tega ni razrešil, saj je podal splošen, pravno nedodelan in notranje nasprotujoč odgovor,
− se je naročnik pri fiksni telefoniji skliceval na izjemo iz člena 3(21) Uredbe DORA, vendar ni pojasnil, zakaj naj bi konkretna storitev fiksne telefonije, kakor je zahtevana v tem javnem naročilu, sploh predstavljala tradicionalne analogne telefonske storitve, ne pa avtomatično na vsako storitev fiksne telefonije ne glede na njeno dejansko tehnično izvedbo,
− je navedeno pomembno, ker naročnik pri fiksni telefoniji ne naroča zgolj klasične analogne telefonske storitve, temveč storitve, ki vključujejo IP okolje oziroma protokole za prenos govora in faksa prek Informacijski pooblaščenec omrežij, kot so T.38, G.711 pass-through oziroma T.37,
− če naročnik kljub temu meni, da gre za analogno telefonsko storitev, bi to moral jasno in tehnično utemeljiti, česar ni storil,
− ostaja nejasno, po kakšnih merilih je naročnik posamezne storitve razvrstil med IKT storitve, ki podpirajo kritične oziroma pomembne funkcije, druge pa iz tega režima izključuje, prav tako ni pojasnil, na podlagi katerih konkretnih dejstev in ocen vpliva je ugotovil, da posamezne storitve podpirajo prav kritične oziroma pomembne funkcije v smislu Uredbe DORA,
− takšna naročnikova obrazložitev ne omogoča preveritve pravilnosti naročnikove presoje in ponudnikom ne omogoča, da bi lahko z zadostno stopnjo pravne varnosti ugotovili, katere obveznosti iz Uredbe DORA morajo upoštevati pri pripravi ponudbe in zakaj,
− je enako nekonkretno naročnik ravnal pri storitvah, za katere zatrjuje uporabo strožjega režima Uredbe DORA, zaradi česar vlagatelj ne ve, ali bo naročnik strožji režim iz člena 30(3) Uredbe DORA avtomatično razširil tudi na fiksno telefonijo,
− ne zahteva razkritja zaupne bančne metodologije, varnostnih načrtov, internih ocen tveganj ali podrobnosti naročnikovega sistema neprekinjenega poslovanja, zahteva pa le tisti nezaupni rezultat presoje, ki neposredno določa obseg njegovih pogodbenih obveznosti, tj. katera storitev podpira katero funkcijo, kakšen bistveni vpliv motnje je naročnik upošteval in katere dodatne pogodbene obveznosti naj bi se zato uporabljale,
− vlagatelj tudi ne more vedeti, katere obveznosti mora vračunati v ponudbeno ceno in kakšno pogodbeno tveganje prevzema z oddajo ponudbe,
− se je naročnik pri utemeljevanju oprl predvsem na Prilogo III Izvedbene uredbe 2024/2956, vendar pa ta priloga ne opravi presoje, ki jo naročnik potrebuje za uporabo člena 30(3) Uredbe DORA, saj je namenjena tipološkemu evidentiranju IKT storitev za potrebe registra informacij po Uredbi DORA,
− je naročnik tako pomešal dve različni vprašanji,
− ker naročnik ni upošteval razlik oziroma je v dokumentaciji v zvezi z oddajo javnega naročila ni predstavil na preverljiv način, ponudniki ne morejo zanesljivo ugotoviti, za katere storitve in v kakšnem obsegu naj bi prevzeli strožji pogodbeni režim iz člena 30(3) Uredbe DORA, zato je dokumentacija v zvezi z oddajo javnega naročila nezakonita, nejasna, nesorazmerna in ne omogoča priprave primerljivih ponudb.

Naročnik je nasprotoval vlagatelju.

Ta del zahtevka za revizijo se nanaša tudi na tisti del točke 15.4.7 dokumentacije v zvezi z oddajo javnega naročila, v kateri je naročnik določil:
»Naročnik določa, da storitve mobilne telefonije, zakup internetnih linij z DDoS zaščito, vzpostavitev internetnega priključka na rezervni lokaciji ter izvajanje storitev SMS obveščanja predstavljajo IKT storitve oz. storitev IKT, ki podpirajo kritične oziroma pomembne funkcije naročnika kot so npr. Kreditiranje, Zakladništvo, Računovodsko evidentiranje in poročanje, Upravljanje varnosti, Upravljanje tveganj ipd., ki so kritične oziroma pomembne za izpolnjevanje naročnikovih regulatornih zahtev, naročnikovo finančno stabilnost, vpliva na naročnikove stranke in/ali odvisnosti naročnika od tretjih strani/zunanjih izvajalcev. Naročnik izjavlja, da storitve fiksne telefonije ne predstavljajo IKT storitev oz. storitev IKT.«

Vlagatelj je v sklopu teh očitkov opozoril na vprašanje, ki je bilo objavljeno 16. 6. 2026 ob 16.12 na portalu javnih naročil:
»Naročnik je v odgovoru z dne 23. 6. 2026 ob 16:02 navedel, da storitve mobilne telefonije, zakup internetnih linij z DDoS zaščito, vzpostavitev internetnega priključka na rezervni lokaciji ter izvajanje storitev SMS obveščanja predstavljajo IKT storitve oziroma storitve IKT, ki podpirajo kritične oziroma pomembne funkcije naročnika, hkrati pa je navedel, da storitve fiksne telefonije ne predstavljajo IKT storitev oziroma storitev IKT.
Zaradi priprave pravilne, primerljive in dopustne ponudbe prosimo za dodatno pojasnilo, na kateri konkretni pravni in vsebinski podlagi naročnik posamezno izmed navedenih storitev šteje za IKT storitev, ki podpira kritične oziroma pomembne funkcije naročnika.
Prosimo, da naročnik za vsako izmed navedenih storitev pojasni, po katerih kriterijih je presodil, da storitev podpira kritične oziroma pomembne funkcije, katero vrsto vpliva je pri tem upošteval ter zakaj ocenjuje, da je za posamezno storitev utemeljena uporaba pogodbenih zahtev DORA, ki se nanašajo na IKT storitve, ki podpirajo kritične oziroma pomembne funkcije.
Prosimo tudi za pojasnilo razlike v naročnikovi presoji med fiksno telefonijo, za katero naročnik navaja, da ne predstavlja IKT storitve, ter mobilno telefonijo, zakupom internetnih linij z DDoS zaščito, internetnim priključkom na rezervni lokaciji in SMS obveščanjem, za katere naročnik navaja, da predstavljajo IKT storitve, ki podpirajo kritične oziroma pomembne funkcije.
V kolikor naročnik za posamezno storitev ne more konkretno utemeljiti uporabe zahtev DORA, ki se nanašajo na IKT storitve, ki podpirajo kritične oziroma pomembne funkcije, prosimo, da dokumentacijo spremeni tako, da se navedene zahteve za takšno storitev ne uporabljajo oziroma da se uporabljajo le v omejenem in sorazmernem obsegu, neposredno povezanem s konkretno storitvijo in dejansko oceno tveganj«,
na katerega je naročnik odgovoril:
»Storitve fiksne telefonije so izrecno izključene v skladu s členom 3, točka 21, Uredbe (EU) 2022/2554 Evropskega parlamenta in Sveta z dne 14. decembra 2022 o digitalni operativni odpornosti za finančni sektor (DORA).
Naročnik utemeljuje, da storitve mobilne telefonije, zakup internetnih linij z DDoS zaščito, vzpostavitev internetnega priključka na rezervni lokaciji in izvajanje storitev SMS obveščanja predstavljajo IKT storitve kot jih opredeljuje Priloga III Izvedbene uredbo Komisije (EU) 2024/2956 z dne 29. novembra 2024 o določitvi izvedbenih tehničnih standardov za uporabo Uredbe (EU) 2022/2554 Evropskega parlamenta in Sveta v zvezi s standardnimi predlogami za register informacij. Te IKT storitve podpirajo kritične oziroma pomembne funkcije naročnika kot so npr. Kreditiranje, Zakladništvo, Računovodsko evidentiranje in poročanje, Upravljanje varnosti, Upravljanje tveganj ipd., ki so kritične oziroma pomembne za izpolnjevanje regulatornih zahtev do naročnika, naročnikovo finančno stabilnost, vpliva na naročnikove stranke in/ali odvisnosti naročnika od tretjih strani/zunanjih izvajalecev.
V opisanem smislu je naročnik dne 23. 6. 2026 v točki 15.4.7 objavil tudi POPRAVEK št. 2 Dokumentacija v zvezi z oddajo JN-0220/2026 (z vidnimi spremembami).pdf in POPRAVEK št. 2 Dokumentacija v zvezi z oddajo JN-0220/2026 (cistopis).pdf«,
s čimer je postal del dokumentacije v zvezi z oddajo javnega naročila (tretja poved iz prvega odstavka 67. člena ZJN-3). Vlagatelj je upoštevajoč na ta odgovor skušal utemeljiti nezakonitost naročnikovega ravnanja.

Državna revizijska komisija najprej ugotavlja, da se člen 30 Uredbe DORA nanaša na vsebino pogodbe, ki jo sklene finančna institucija s tretjim ponudnikom storitev IKT, kar bi pomenilo z vlagateljem, če bi bila izbrana njegova ponudba. Kot je razvidno iz člena 30(2) Uredbe DORA, ta odstavek določa elemente, ki jih vsebuje pogodba o uporabi storitev IKT, člen 30(3) Uredbe DORA pa določa, da pogodba vsebuje še dodatne elemente poleg tistih iz člena 30(2) Uredbe DORA, če se pogodba nanaša na uporabo storitev IKT, ki podpirajo kritične ali pomembne funkcije. Kaj so kritične ali pomembne funkcije, določa člen 3(22) Uredbe DORA. Iz navedenih določb je mogoče zaključiti, da vse storitve IKT niso take, da podpirajo kritične ali pomembne funkcije, iz česar izhaja, da ima Uredba DORA ureditev, ki pri določanju pogodbene vsebine upošteva načelo sorazmernosti. Vendar je to načelo sorazmernosti v smislu ureditve po Uredbi DORA, ne pa ZJN-3.

Državna revizijska komisija ugotavlja, da ZJN-3 za pogodbo o izvedbi javnega naročila, kot bi bila sklenjena za predmet javnega naročila, razen elementov iz četrtega odstavka 67. člena, ki se nanašajo na vrednost, rok veljavnosti pogodbe in razvezni pogoj, ne določa konkretnih sestavin. Na vsebino pogodbe o izvedbi javnega naročila se nanaša tudi prvi odstavek 93. člena ZJN-3, ki naročniku omogoča, da določi posebne pogoje v zvezi z izvedbo javnega naročila, ki jih vključi v pogodbo o izvedbi javnega naročila, če so ti pogoji povezani s predmetom javnega naročila v skladu s šestim odstavkom 84. člena ZJN-3 in navedeni v povabilu k sodelovanju ali dokumentaciji v zvezi z oddajo javnega naročila, pri čemer ti pogoji lahko zajemajo gospodarske, inovativne, okoljske, socialne ali zaposlitvene vidike. S tega zornega kota sta člena 30(2) in 30(3) Uredbe DORA podrobnejša in specialno urejata vprašanja, ki jih ZJN-3 ne. Vendar, kot že pred tem navedeno, Državna revizijska komisija v mejah svojih pristojnosti ne ugotavlja, ali je naročnik kršil Uredbo DORA, temveč, ali je naročnik, ko je pripravil dokumentacijo v zvezi z oddajo javnega naročila, pri čemer se je za določitev njene vsebine oprl na vsebino Uredbe DORA, vsebino dokumentacije v zvezi z oddajo javnega naročila določil skladno s predpisi o javnem naročanju, torej skladno s pravili in temeljnimi načeli ZJN-3.

V zvezi z vlagateljevimi navedbami, da naročnik ni izkazal odločilnega pogoja za uporabo člena 30(3) Uredbe DORA, je treba z vidika javnega naročanja upoštevati, da ZJN-3 ne določa, da bi moral naročnik v »razpisni fazi« bodisi v dokumentaciji v zvezi z oddajo javnega naročila bodisi na portalu javnih naročil v odgovorih na vprašanja gospodarskih subjektov navesti ali dokazati, zakaj je določil ali opustil posamezen element (bodisi tehnične specifikacije, bodisi pogodbene določbe, bodisi pogoje, bodisi drugo). ZJN-3 naročnika zavezuje priprave dokumentacije v zvezi z oddajo javnega naročila in zagotavljanja informacij (gl. zlasti 67. člen ZJN-3), pri čemer mora naročnik zagotoviti tiste informacije, ki so pomembne za pripravo ponudb (v tem smislu gl. tretji odstavek 74. člena ZJN-3). Vlagatelj se je s seznanitvijo z objavo obvestila o naročilu in dokumentacije v zvezi z oddajo javnega naročila seznanil s tem, kaj naročnik nabavlja. Vlagatelj sam s svojimi navedbami dokazuje, da se je seznanil s tem, da je naročnik uporabil ureditev iz člena 30(3) Uredbe DORA tudi za nekatere dele predmeta javnega naročila, za katere vlagatelj (v zahtevku za revizijo) uveljavlja, da se nanje ne nanaša. Vlagatelju s tega vidika ne primanjkuje informacij, da je še za vlagatelja sporni del javnega naročila naročnik upošteval ureditev iz člena 30(3) Uredbe DORA, pač pa se vlagatelj ne strinja s tem, da bi naročnik smel upoštevati ureditev po členu 30(3) Uredbe DORA tudi za te dele predmeta javnega naročila. Vlagatelj v tem obsegu torej kvečjemu uveljavlja kršitev načela sorazmernosti (8. člen ZJN-3). Vlagatelj hkrati uveljavlja, da za nekatere dele predmeta javnega naročila ni jasno, ali naročnik upošteva ureditev po členu 30(3) Uredbe DORA, s čimer vlagatelj po vsebini uveljavlja nezadostno naročnikovo zagotavljanje informacij in torej bi očital naročniku ravnanje v nasprotju z obveznostmi po ZJN-3, ki se nanašajo na zagotavljanje transparentnosti javnega naročanja (6. člena ZJN-3), da bi lahko naročnik zagotovil tudi enakopravno obravnavo ponudnikov (7. člen ZJN-3). Iz predstavljenega je zato razvidno, da naročnik ni kršil ZJN-3, ker v »razpisni fazi« v dokumentaciji v zvezi z oddajo javnega naročila ni navedel pravnih podlag, zakaj se je odločil upoštevati ureditev po členu 30(3) Uredbe DORA tudi za nekatere, za vlagatelja sporne dele predmeta javnega naročila. Naročnik ravno tako ni kršil ZJN-3, ker teh pravnih podlag in utemeljitev ni zagotovil v odgovorih na vprašanja, ki so jih prek portala javnih naročil zahtevali gospodarski subjekti, saj, kot že predhodno pojasnjeno, odgovori po ZJN-3 temu niso namenjeni. Tako se tudi izkaže, da naročnik ni kršil ZJN-3, čeprav naj ne bi razjasnil »razliko med fiksno telefonijo, za katero je navedel, da ne predstavlja IKT storitve, in mobilno telefonijo, internetnimi linijami z DDoS zaščito, rezervnim priključkom ter SMS obveščanjem, za katerega je navedel, da takšne storitve predstavljajo« (zahtevek za revizijo, str. 7). Iz te vlagateljeve navedbe je kvečjemu razvidno to, da je vlagatelju jasno, za katere od teh storitev je naročnik upošteval ureditev po členu 30(3) Uredbe DORA in katerih ne, zaradi česar je mogoče tudi zaključiti, da je vlagatelj imel potrebne informacije o tem, za kateri del predmeta javnega naročila naročnik zahteva različno obravnavo. Tudi vlagateljevo opozarjanje na problematiko izključevanja fiksne telefonije iz režima po Uredbi DORA, četudi bi naročnik morebiti napačno tolmačil katerega izmed načinov zagotavljanja te storitve, ne spremeni dejstva, da je naročnikov odgovor o izključevanju jasen, pri čemer so vsi gospodarski subjekti prejeli enak obseg informacij za pripravo ponudbe.

Vlagatelj zato v tistem delu zahtevka za revizijo, ko skuša utemeljiti nezakonitost naročnikovega ravnanja, ker v »razpisni fazi« gospodarskim subjektom ni razkril pravnih podlag ali razlogov, na podlagi katerih se je za nekatere dele predmeta javnega naročila odločil, da tudi zanje velja ali ne velja Uredba DORA oziroma ureditev po členu 30(3) Uredbe DORA, naročniku neutemeljeno očita kršitev ZJN-3. Kot že pojasnjeno, ZJN-3 naročniku take dolžnosti ne nalaga. Četudi naročnik torej ne bi opravil vseh potrebnih ravnanj po členu 28(4) Uredbe DORA oziroma ne bi opravil potrebne individualizirane presoje po Uredbi DORA, kot to uveljavlja vlagatelj, pa tudi v primeru, če bi jih opravil napačno, to z vidika zagotavljanja transparentnosti javnega naročanja po ZJN-3 ni relevantno, ker bi taka naročnikova ravnanja pomenila kršitev Uredbe DORA, ne pa ZJN-3. Z vidika ZJN-3 glede zagotavljanja transparentnosti javnega naročanja je relevantno, da je naročnik v »razpisni fazi« seznanil gospodarske subjekte, da je za nekatere storitve uporabil ureditev po členu 30(3) Uredbe DORA. Kršitev 6. člena ZJN-3 zato v tem obsegu ni podana.

Vlagatelj v tem delu zahtevka za revizijo zatrjuje kršitev 6. člena ZJN-3 tudi zato, ker naročnik s tako določeno dokumentacijo v zvezi z oddajo javnega naročila ne bi zagotovil dovolj informacij, da bi vlagatelj lahko oblikoval ponudbeno ceno, saj vlagatelj ne more v celoti razpoznati obveznosti, ki mu jih dokumentacija v zvezi z oddajo javnega naročila nalaga. Državna revizijska komisija je morala v tem delu zahtevka za revizijo ugotoviti, da so vlagateljeve navedbe splošne oziroma nezadostno konkretizirane. Bistvo vlagateljevih navedb namreč ni v tem, da bi utemeljeval kršitev ZJN-3, temveč je kršitev ZJN-3 uveljavljal posredno, in sicer kot posledico kršitve Uredbe DORA. Vlagatelj je namreč svoje očitke gradil med drugim na izhodiščih, da je pri naročniku umanjkal korak za dopustno uporabo ureditve iz 30(3) Uredbe DORA, ker naročnik ni nikoli povezal konkretne storitve (če ta spada pod definicijo iz člena 3(22) Uredbe DORA) s konkretno funkcijo in pojasnil bistvenega učinka njene motnje, ter da naročnik razlik ni predstavil v dokumentaciji v zvezi z oddajo javnega naročila oziroma odgovorih na vprašanja gospodarskih subjektov. Vendar, kot je bilo že pojasnjeno, Državna revizijska komisija ni eden od pristojnih organov po Uredbi DORA, ki bi nadziral naročnikovo ravnanje po Uredbi DORA, ZJN-3 pa naročniku ne nalaga, da bi moral informacije, ki si jih vlagatelj prizadeva dobiti, podajati v »razpisni fazi« v dokumentaciji v zvezi z oddajo javnega naročila ali odgovorih na vprašanja gospodarskih subjektov.

Državna revizijska komisija ugotavlja, da ni sporno, da je naročnik določil tehnične specifikacije in vzorec pogodbe. Državna revizijska komisija ugotavlja, da je naročnik v ta dela dokumentacije v zvezi z oddajo javnega naročila vključil posamezne elemente z namenom pridobitve ponudb in izvajanja pogodbe o izvedbi javnega naročila. Naročnik je torej predstavil svoje potrebe, Državna revizijska komisija pa ne more posegati v to, katerim potrebam se je naročnik odločil zadostiti. Državna revizijska komisija lahko ugotavlja le, ali je naročnik pri iskanju pogodbenega partnerja, ki bi zadostil tem njegovim potrebam, upošteval predpise o javnih naročilih. Postopki po Uredbi DORA, ki naj bi jih moral naročnik izvesti, niso in ne morejo biti predmet odločanja v postopku pravnega varstva po ZPVPJN.

Državna revizijska komisija tako ugotavlja, da je določitev predmeta javnega naročila naročnikova avtonomna odločitev, pri čemer ZJN-3 ne določa, kaj sme naročnik nabaviti, temveč to, kar se je odločil nabaviti, kako sme oziroma mora to nabaviti. ZJN-3, za nadzor nad katerim je pristojna Državna revizijska komisija, določa le pravila postopka nabave, Državna revizijska komisija pa lahko ugotavlja le, kako je naročnik ta pravila upošteval pri konkretni nabavi. Vendar, kot je bilo že pojasnjeno, so vlagateljeve navedbe usmerjene v naročnikovo kršitev Uredbe DORA, kršitev ZJN-3 pa je uveljavljana le posredno.

Upoštevajoč vse navedeno Državna revizijska komisija v tem delu zahtevka za revizijo zato ni mogla ugotoviti naročnikove kršitve ZJN-3, in sicer niti načela sorazmernosti iz 8. člena ZJN-3.

Vlagatelj je v 2. točki III. poglavja zahtevka za revizijo navedel, da:
− je posebej pomembno vprašanje redundance oziroma nadomestljivosti storitev,
− če banka uporablja določeno storitev, to še ne pomeni, da bi izpad prav te storitve sam po sebi povzročil bistveno motnjo kritične ali pomembne funkcije, saj ima banka lahko za isto funkcijo več komunikacijskih poti, več načinov obveščanja, več kanalov za avtentikacijo, več lokacij ali več postopkov za zagotavljanje neprekinjenega poslovanja, zato je v takem primeru treba presoditi, ali ali bi izpad konkretne storitve dejansko povzročil bistveni učinek po členu 3(22) Uredbe DORA ali pa bi bila funkcija lahko zagotovljena z drugo, nadomestno rešitvijo,
− Uredba DORA ne določa, da bi bila vsaka posamezna komunikacijska storitev že zato, ker jo banka uporablja, avtomatično IKT storitev, ki podpira kritično ali pomembno funkcijo v smislu člena 3(22) Uredbe DORA,
− namen Uredbe DORA ni v tem, da finančni subjekt kritičnost lastnih funkcij zgolj pogodbeno prenese na zunanjega izvajalca, temveč mora finančni subjekt svoja IKT tveganja identificirati in oceniti ter jih z ustreznimi ukrepi zmanjšati na sprejemljivo raven,
− obveznosti, ki jih nalaga Uredba DORA v zvezi z IKT storitvami, ki podpirajo kritične ali pomembne funkcije, predpostavljajo predhodno in dokumentirano presojo finančnega subjekta, ne pa zgolj enostranske pogodbene opredelitve storitve,
− enako izhaja iz pravil informacijske varnosti, če se naročnik nanje sklicuje oziroma jih uporablja v svojem sistemu upravljanja varnosti,
− tudi ti pristopi temeljijo na identifikaciji tveganj, oceni vpliva, zmanjševanju tveganj, zagotavljanju neprekinjenega poslovanja in preverjanju učinkovitosti ukrepov, ne pa pavšalnemu prenosu nerazmejenih tveganj na zunanjega izvajalca,
− če naročnik meni, da je komunikacijska storitev tako pomembna, da bi njen izpad povzročil bistveno motnjo kritične ali pomembne funkcije, mora biti iz dokumentacije razvidno tudi, ali je pri tej presoji upošteval lastne ukrepe neprekinjenega poslovanja, nadomestne poti, rezervne storitve, druge komunikacijske kanale oziroma druge obnovitvene scenarije, brez tega pa ni mogoče ugotoviti, ali je posamezna storitev res nenadomestljiva oziroma bistvena ali pa naročnik zgolj izhaja iz dejstva, da jo uporablja pri svojem poslovanju,
− se tveganje izpada komunikacijske storitve praviloma ne obvladuje samo s pogodbeno zavezo enega izvajalca, ampak se praviloma obvladuje predvsem z ustrezno zasnovo naročnikovega lastnega sistema neprekinjenega poslovanja, z nadomestnimi potmi, rezervnimi kanali, ločenimi povezavami, alternativnimi ponudniki, rezervnimi lokacijami ter drugimi tehničnimi in organizacijskimi ukrepi,
− je za presojo po Uredbi DORA pri mobilnih storitvah, dostopu do interneta DDoS, SMS obveščanju in drugih storitvah pomembno, ali ima naročnik vzpostavljene posamezne ukrepe, ki jih vlagatelj našteje,
− naročnik ne more le ugotoviti, da neko storitev uporablja pri svojem poslovanju, in iz tega izpeljati uporabo strožjega režima iz člena 30(3) Uredbe DORA, niti ne more le deklaratorno navesti, da določena storitev podpira kritično ali pomembno funkcijo, ne da bi bila podana preverljiva povezava med konkretno storitvijo, konkretno funkcijo in oceno posledic morebitnega izpada te storitve, še manj pa sme z oblikovanjem naročila ustvariti oziroma povečati enotno točko odpovedi,
− je navedeno zlasti pomembno pri internetnem priključku na rezervni lokaciji, saj je ta lokacija namenjena le aktivaciji ob določenem dogodku,
− če naročnik meni, da priključek na rezervni lokaciji podpira kritično ali pomembno funkcijo, mora navesti, kateri obnovitveni scenarij je relevanten, katera funkcija naj bi bila s tem podprta in zakaj bo motnja tega priključka imela bistveni učinek po členu 3(22) Uredbe DORA,
− naročnik ne more pavšalno ugotoviti, da so komunikacijske storitve pomembne za poslovanje banke,
− brez presoje ni mogoče preveriti, ali je uporaba strožjega režima iz člena 30(3) Uredbe DORA dejansko utemeljena ali pa naročnik le prenaša lastna operativna tveganja na ponudnika, zato ponudniki ne morejo preveriti niti sorazmernosti in zakonitosti zahtevanih pogodbenih obveznosti, kar povzroča netransparentnost dokumentacije v zvezi z oddajo javnega naročila in neenak položaj gospodarskih subjektov pri pripravi ponudb,
− ne more preveriti, ali je uporaba strožjega režima iz člena 30(3) Uredbe DORA posledica konkretne presoje nenadomestljivosti, odvisnosti in bistvenega vpliva posamezne storitve ali pa le posledica dejstva, da naročnik to storitev uporablja pri svojem poslovanju, pa tudi ne more preveriti, ali je naročnik pri taki presoji upošteval obstoječe ali predvidene ukrepe neprekinjenega poslovanja, nadomestne rešitve, rezervne komunikacijske poti in druge ukrepe za zmanjšanje operativnih tveganj, zato tudi ne more preveriti, ali je uporaba strožjega režima iz člena 30(3) Uredbe DORA v konkretnem primeru sorazmerna in dejansko utemeljena,
− tudi Delegirana uredba 2024/1773 potrjuje tak pristop,
− ker naročnik take presoje ni opravil oziroma je ni pojasnil niti na izrecno zastavljeno vprašanje na portal javnih naročil, ponudniki ne morejo preveriti dejanske podlage za zakonitost uporabe zahtev iz člena 30(3) Uredbe DORA.

Naročnik je nasprotoval vlagatelju.

Državna revizijska komisija ugotavlja, da vlagateljeve navedbe v tem delu zahtevka za revizijo sploh ne izhajajo iz kršitev pravil o javnem naročanju, temveč jih utemeljuje zgolj v smislu kršitev Uredbe DORA. Kot je Državna revizijska komisija že predhodno pojasnila, vlagatelj s takimi očitki pred Državno revizijsko komisijo ne more uspeti, ker Državna revizijska komisija ni pristojni organ po Uredbi DORA in zato ne more ugotavljati, ali je naročnik ravnal skladno z Uredbo DORA. Ne glede na navedeno Državna revizijska komisija dodaja, da se v postopku pravnega varstva ne ugotavlja niti pravilnost določitve načina zadovoljevanja naročnikovih potreb (ker je to strokovno, ne pravno vprašanje), v zvezi z vlagateljevimi navedbami o pomanjkljivih naročnikovih pojasnilih v dokumentaciji v zvezi z oddajo javnega naročila oziroma odgovorih na vprašanja na portalu javnih naročil glede ugotovitve pomembnosti IKT storitev za poslovanje banke pa ponavlja, da ZJN-3 naročniku ne nalaga, da bi moral te informacije zagotoviti v »razpisni fazi«.

Državna revizijska komisija v tem delu zahtevka za revizijo zato ni mogla ugotoviti naročnikove kršitve ZJN-3.

Vlagatelj je v 3. točki III. poglavja zahtevka za revizijo navedel, da:
− naročnik pri oblikovanju dokumentacije v zvezi z oddajo javnega naročila ni upošteval posebne narave storitev, ki jih zagotavlja telekomunikacijski operater, saj ta ne izvaja izoliranega informacijskega sistema samo za enega naročnika, zato so zahteve glede dostopa, revizij, inšpekcijskih pregledov, varnostnih preverjanj in predložitve dokumentacije pri telekomunikacijskem operaterju bistveno občutljivejše kot pri izvajalcu, ki za naročnika upravlja namensko aplikacijo ali drug izoliran informacijski sistem,
− je telekomunikacijski operater že na podlagi sektorske zakonodaje (tj. Zakona o elektronskih komunikacijah, Uradni list RS, št. 130/22 s sprem.; v nadaljevanju: ZEKom-2) zavezan zagotavljati ustrezno raven varnosti, razpoložljivosti in zaupnosti elektronskih komunikacijskih omrežij in storitev,
− ta sektorski režim ne izključuje uporabe Uredbe DORA, je pa okoliščina, ki jo mora naročnik upoštevati pri jasnem, sorazmernem in izvedljive, oblikovanju pogodbenih zahtev,
− tudi Uredba DORA izhaja iz tega, da pravice dostopa, inšpekcijskega pregleda in revizije niso brezmejne v dejanskem smislu, pač pa člen 30(3)(e) Uredbe DORA določa pravice dostopa, inšpekcijskega pregleda in revizije, vendar hkrati predvideva položaj, v katerem bi bile z izvajanjem teh pravic lahko prizadete pravice drugih strank, pri čemer za tak primer določa možnost zahtevati alternative ravni zanesljivosti,
− bi naročnikova zahteva za neposredni dostop lahko prizadela pravice drugih uporabnikov, poslovne skrivnosti, varnost omrežja in vlagateljeve obveznosti po sektorski zakonodaji, prav tako bi zahteva po neposrednem dostopu do produkcijskih omrežnih sistemov, konfiguracij ali varnostnih mehanizmov pri operaterju javnega komunikacijskega omrežja lahko povzročile tudi dodatna sistemska varnostna tveganja,
− pravila informacijske in kibernetske varnosti temeljijo na načelu najmanjšega potrebnega dostopa, segmentacije in omejevanja dostopa do kritičnih produkcijskih okolij,
− Uredba DORA dopušča, da se ustrezna raven zanesljivosti zagotovi na drugačen, sorazmeren in varen način, kar so zlasti certifikati, poročila neodvisnih presojevalcev, nadzorovani povzetki revizij, SLA poročila, poročila o razpoložljivosti, izjave o kontrolah, ne da bi se poseglo v varnost javnega omrežja ali pravice drugih uporabnikov,
− dokumentacija v zvezi z oddajo javnega naročila tega ne ureja dovolj jasno, saj so zahteve zapisane preširoko in ne razlikujejo med informacijami, ki se nanašajo na izvajanje konkretne pogodbe za naročnika, in širšimi operaterskimi sistemi, omrežnimi elementi, varnostnimi postopki in dokumentacijo, ki niso namenjeni posameznemu naročniku, telekomunikacijski operater pa jih ne more razkrivati ali dajati na voljo na enak način kot namenski informacijski sistem,
− če mora vlagatelj že ob oddaji ponudbe pristati na odprt in vsebinsko nedoločen režim dostopa, revizij, pregledov in varnostnih preverjanj, mora v ponudbeno ceno vračunati tveganje dodatnih revizij, pravnih pregledov, varnostnih postopkov, internih odobritev in morebitnih zavrnitev posameznih zahtev, hkrati pa mora prevzeti tveganje, da bo naročnik kasneje zahteval dostop ali dokumentacijo, ki je vlagatelj zaradi sektorske zakonodaje, poslovnih skrivnosti, varnosti omrežja ali pravic drugih uporabnikov ne sme razkriti,
− takšna ureditev ne predstavlja le običajnega izvedbenega tveganja, temveč nejasnost dokumentacije v zvezi z oddajo javnega naročila, ki neposredno vpliva na oblikovanje ponudbene cene, oceno poslovnega tveganja in primerljivost ponudb, saj posamezni ponudniki ne morejo enotno oceniti obsega in intenzivnosti niti sedanjih, še manj pa kasnejših naročnikovih zahtev,
− naročnik bi moral v dokumentaciji v zvezi z oddajo javnega naročila jasno določiti, katere pravice dostopa, revizije in preverjanja zahteva, na katere sisteme oziroma informacije se nanašajo, v katerih primerih se lahko izvajajo neposredno in kdaj se skladnost dokazuje z alternativnimi ravnmi zanesljivosti,
− dokumentacija v zvezi z oddajo javnega naročila je v tem delu zaradi te naročnikove opustitve nejasna, nesorazmerna in ne omogoča izvedbe predmeta javnega naročila pod jasno določenimi pogoji.

Naročnik je nasprotoval vlagatelju.

Državna revizijska komisija ugotavlja, da je naročnik v odgovoru, ki je bil objavljen 23. 6. 2026 ob 16.02 na portalu javnih naročil, pri čemer vsebina tega odgovora izhaja iz drugega in tretjega odstavka točke 15.4.7 dokumentacije v zvezi z oddajo javnega naročila, svoje pravice dostopa do vlagateljeve infrastrukture, podatkov itd. omejil le na določen obseg, za izpolnjevanje zahtev po Uredbi DORA pa je določil tudi alternativna dokazila. Naročnik je v »razpisni fazi« s temi elementi dopolnil prvotno določeno točko 15.4.7 dokumentacije v zvezi z oddajo javnega naročila, ki teh vsebin ni določala.

Vlagatelj je sicer uveljavljal, da dokumentacija v zvezi z oddajo javnega naročila vprašanj glede naročnikovega dostopa do ponudnikovega informacijskega sistema določena preširoko, vendar, kot že pojasnjeno, Državna revizijska komisija ni pristojna za nadzor Uredbe DORA, zato tudi ne more ugotavljati, ali bi moral naročnik po Uredbi DORA omogočiti še druge možnosti. Prav tako Državna revizijska komisija ne more ugotavljati, ali je naročnik pravilno implementiral obveznosti iz člena 28(6)(1) Uredbe DORA, ki določa:
»Finančni subjekti pri uveljavljanju pravic do dostopa, inšpekcijskih pregledov in revizij pri tretjem ponudniku storitev IKT vnaprej določijo pogostost revizij in inšpekcijskih pregledov ter področja, ki jih je treba revidirati, na podlagi pristopa, ki temelji na tveganju, in ob upoštevanju splošno sprejetih revizijskih standardov v skladu z vsemi nadzornimi navodili o uporabi in vključitvi takih revizijskih standardov«,
saj je to določba iz predpisa, za nadzor nad katerim Državna revizijska komisija nima pooblastil.

Vlagatelj je tudi opozoril na prevzem tveganj, ki presegajo običajna, kar vpliva na oblikovanje ponudbene cene, to pa vpliva na primerljivost ponudb. Vlagatelj je navedel, da bi moral naročnik v dokumentaciji v zvezi z oddajo javnega naročila jasno določiti, katere pravice dostopa, revizije in preverjanja zahteva, na katere sisteme oziroma informacije se nanašajo, v katerih primerih se lahko izvajajo in kdaj se skladnost dokazuje z alternativnimi ravnmi zanesljivosti. Vlagatelj je navedel, da naročnik tega ni storil, zato dokumentacija v zvezi z oddajo javnega naročila v tem delu ni jasna, ni sorazmerna in ne omogoča izvedbe predmeta javnega naročila pod jasno določenimi pogoji. Državna revizijska komisija ugotavlja, da vlagatelj s temi navedbami po vsebini uveljavlja kršitev 6. člena ZJN-3. Četudi se Državna revizijska komisija strinja z vlagateljem, da mora biti dokumentacija v zvezi z oddajo javnega naročila jasna, natančna in nedvoumna, saj mora naročnik zagotoviti, da ravna skladno z načeloma transparentnost postopka javnega naročanja (6. člen ZJN-3) in enakopravne obravnave ponudnikov (7. člen ZJN-3), pa Državna revizijska komisija ne more spregledati, da je naročnik pri določanju svojih obveznosti uporabil takšno splošno formulacijo, ki svoje pravice veže le na določen in nujen obseg, nad njegovim presežkom pa naročnik izrecno navaja, da nima pravic. Že iz tega je razvidno, da se je naročnik omejil pri posegih v ponudnikovi sferi. Res je sicer, da je naročnik uporabil pojme »izključno«, »neposredna povezava« in »nujen poseg«, ki jim je treba zapolniti vsebino, saj so lahko predmet tolmačenja, vendar je po drugi strani jasno, natančno in nedvoumno razvidno, da so njegove pravice eksplicitno zamejene s temi elementi, ki jim je predvidljivo že ob predložitvi ponudb mogoče dati vsebino. Pri tem Državna revizijska komisija ugotavlja, da vlagatelj sicer izpostavlja, da bi moral posamezne elemente konkretizirati, vendar po drugi strani z ničimer ne utemeljuje, da vsebina dokumentacije v zvezi z oddajo javnega naročila (drugi in tretji odstavek točke 15.4.7), ko uporablja pojme »izključno«, »neposredna povezava« in »nujen poseg« ni zadostna, poleg tega pa tudi z ničimer konkretnim ne nasprotuje vsebini drugega in tretjega odstavka točke 15.4.7 dokumentacije v zvezi z oddajo javnega naročila.

Upoštevajoč navedeno Državna revizijska komisija v tem delu zahtevka za revizijo zato ni mogla ugotoviti naročnikove kršitve ZJN-3. Predstavljeni zaključek še toliko bolj velja v primeru, da vlagatelj sploh ne bi zatrjeval kršitve ZJN-3, temveč kršitev Uredbe DORA, npr. člena 28(6)(1), saj Državna revizijska komisija, kot že pojasnjeno, nima pooblastil za ugotavljanje skladnosti naročnikovega ravnanja z Uredbo DORA.

Vlagatelj je v 4. točki III. poglavja zahtevka za revizijo navedel, da:
− dokumentacija v zvezi z oddajo javnega naročila je nejasna tudi glede podizvajalcev in dobaviteljske oziroma operaterske verige,
− naročnik v dokumentaciji v zvezi z oddajo javnega naročila uporablja institut podizvajalcev in hkrati v okviru Uredbe DORA zahteva prenos obveznosti na podizvajalca, vendar zaradi izvajanja javnih telekomunikacijskih storitev z uporabo kompleksnega tehničnega in organizacijskega okolja pri telekomunikacijskem operaterju ni samoumevno, kdo je podizvajalec,
− že iz definicije podizvajalca po ZJN-3 izhaja, da vsak dobavitelj opreme, proizvajalec sistema ali poslovni partner telekomunikacijskega operaterja ni avtomatično podizvajalec v smislu javnega naročanja, kar je pomembno pri proizvajalcih oziroma dobaviteljih omrežne opreme in tehnoloških komponent, roaming operaterjih in medoperaterskih partnerjih,
− ni mogoče konkretizacije tega pojma prepustiti kasnejši razlagi,
− če bi naročnik po poteku roka za prejem ponudb ugotovil, da bi moral vlagatelj kot podizvajalce prijaviti dobavitelje omrežne opreme, proizvajalce, roaming partnerje ali medoperaterske partnerje, bi bil vlagatelj izpostavljen tveganju zavrnitve ponudbe in kasnejše pogodbene kršitve, če pa vlagatelj vse te subjekte preventivno obravnava kot podizvajalce, bi moral pridobivati dokazila in soglasja od subjektov, ki objektivno ne izvajajo konkretnega dela naročila za naročnika in pogosto takšnih pogodbenih obveznosti sploh ne bodo sprejeli, kar vse vpliva na pripravo ponudbe.

Vlagatelj uveljavlja, da je dokumentacija v zvezi z oddajo javnega naročila nejasna v delu, ki se nanaša na podizvajalce.

Odločanje Državne revizijske komisije o vprašanju podizvajalcev se lahko omeji le na vsebino pojma podizvajalec, kot ga določa ZJN-3, pri čemer druga poved iz prvega odstavka 94. člena ZJN-3, ki določa pojem podizvajalca, izrecno navaja, da določa ta pojem le za namen ZJN-3. Besedilo te določbe se namreč glasi:
»Za namen tega zakona je podizvajalec gospodarski subjekt, ki je pravna ali fizična oseba in za ponudnika, s katerim je naročnik po tem zakonu sklenil pogodbo o izvedbi javnega naročila ali okvirni sporazum, dobavlja blago ali izvaja storitev oziroma gradnjo, ki je neposredno povezana s predmetom javnega naročila.«

Naročnik je uredil vprašanja nastopanja s podizvajalci v 7. točki dokumentacije v zvezi z oddajo javnega naročila (str. 8–9), pri čemer je v prvem odstavku te točke določil, da »skladno z določili ZJN-3 je podizvajalec gospodarski subjekt, ki je pravna ali fizična oseba in za ponudnika, s katerim naročnik po ZJN-3 sklene pogodbo, izvaja storitev, ki je neposredno povezana s predmetom javnega naročila«. Iz citiranega besedila izhaja, da se je naročnik oprl na definicijo podizvajalca iz druge povedi iz prvega odstavka 94. člena ZJN-3 in v dokumentacijo v zvezi z oddajo javnega naročila prenesel njen del.

Naročnik je v 18. členu vzorca pogodbe uredil posamezna vprašanja nastopanja pogodbenega partnerja s podizvajalci.

Državna revizijska komisija zavrača vlagateljeve navedbe, da bi bila naročnikova dolžnost, da že vnaprej določi, katere konkretne subjekte bo obravnaval kot podizvajalce in katerih ne. Pojem podizvajalca je glede na definicijo iz druge povedi iz prvega odstavka 94. člena ZJN-3 opredeljen tako, da določa temeljne elemente, na podlagi katerih se ugotavlja, ali je nek subjekt v položaju podizvajalca v smislu te določbe ZJN-3. Vlagatelj neutemeljeno pričakuje, da bi moral naročnik vsak posamezen subjekt, ki je lahko vključen v razmerje s ponudnikom, že vnaprej (bodisi v dokumentaciji v zvezi z oddajo javnega naročila bodisi v odgovorih na vprašanja) označiti, ali ga bo obravnaval kot podizvajalca ali ne. Taka obveznost ne izhaja iz ZJN-3, in sicer niti z oslombo na kakšno temeljno načelo. Pravila, ki bi nalagalo tako ravnanje naročniku, namreč v ZJN-3 ni, zato ga ni mogoče vzpostaviti s tolmačenjem temeljnih načel. Poleg tega naročnik v fazi, preden prejme ponudbo, tudi ne more vedeti vseh dejanskih in pravnih okoliščin razmerja med določenim gospodarskim subjektom, ki želi predložiti ponudbo, in subjektom, s katerim je oziroma bi bil v nekem pravnem odnosu, da bi lahko vnaprej vključeval ali izključeval tak subjekt iz položaja podizvajalca.

Poleg tega bi bilo treba upoštevati, da je naročnik v 7. točko dokumentacije v zvezi z oddajo javnega naročila vključil le del definicije iz druge povedi prvega odstavka 94. člena ZJN-3, saj se je na položaj podizvajalca skliceval le v kontekstu izvajanja storitev, ne pa dobave blaga.

Državna revizijska komisija v tem delu zahtevka za revizijo zato ni mogla ugotoviti naročnikove kršitve ZJN-3.

Vlagatelj je v 5. točki III. poglavja zahtevka za revizijo navedel, da:
− je bil naročnik opozorjen tudi v zvezi z varovanjem zaupnih podatkov, na kar je odgovoril z odgovorom, ki je bil objavljen 23. 6. 2026 ob 16.12 na portalu javnih naročil, ki potrjuje pravilnost vlagateljevega stališča, da se naročnikove obveznosti ne smejo raztezati na interne operaterske procese, operaterske evidence, prometne podatke, obračunske podatke, varnostne loge ali druge podatke, ki jih operater obdeluje na lastni pravni podlagi oziroma jih mora hraniti skladno z veljavnimi predpisi,
− naročnik enake jasne omejitve ni vnesel v celoten režim po Uredbi DORA, zlasti ne v zahteve glede dostopa, revizij, pregledov in podizvajanja, zaradi česar dokumentacija v zvezi z oddajo javnega naročila ostaja notranje neenotna.

Vlagatelj se sklicuje na 27. člen vzorca pogodbe, s katerim je naročnik uredil vprašanja varovanja poslovnih skrivnosti in osebnih podatkov.

V zvezi s to tematiko je naročnik na vprašanja:
»V zvezi s XV. poglavjem vzorca pogodbe, 27. člen,
1.prosimo za pojasnilo, ali naročnik potrjuje, da določbe o varovanju zaupnih podatkov, beleženju in neprekinjenem spremljanju aktivnosti izvajalca, spoštovanju naročnikovih varnostnih politik in dodatnih varnostnih postopkov ter vračilu, izbrisu, obnovitvi oziroma restavriranju podatkov ne posegajo v obdelave osebnih podatkov in podatkov elektronskih komunikacij, ki jih izvajalec kot operater elektronskih komunikacij izvaja kot samostojni upravljavec na podlagi veljavnih predpisov.
2.Prosimo za potrditev, da se obveznosti glede varovanja zaupnih podatkov, beleženja in neprekinjenega spremljanja aktivnosti izvajalca, spoštovanja naročnikovih varnostnih politik in dodatnih varnostnih postopkov ter vračila, izbrisa, obnovitve oziroma restavriranja podatkov nanašajo zgolj na aktivnosti izvajalca v sistemih naročnika oziroma na podatke, ki jih naročnik preda izvajalcu za namen izvedbe pogodbe, in ne na interne operaterske procese, operaterske evidence, prometne podatke, obračunske podatke, varnostne loge ali druge podatke, ki jih izvajalec obdeluje na lastni pravni podlagi oziroma jih je dolžan hraniti skladno z veljavnimi predpisi.
3.Prosimo tudi za potrditev, da se obveznost predložitve seznama oseb in podpisanih izjav o varovanju zaupnih podatkov nanaša zgolj na osebe izvajalca, ki bodo dejansko neposredno izvajale dela in se pri tem seznanjale z zaupnimi podatki naročnika, ter da se pri tem posredujejo le osebni podatki, ki so nujno potrebni za namen varovanja zaupnih podatkov in izvajanja pogodbe«,
odgovoril (odgovori, objavljeni 23. 6. 2026 ob 16.12 na portalu javnih naročil):
»Ad1) Naročnik potrjuje, da navedene določbe ne posegajo v obdelave osebnih podatkov in podatkov elektronskih komunikacij, ki jih izvajalec kot operater izvaja kot samostojni upravljavec na podlagi veljavnih predpisov.
Ad2) Naročnik pojasnjuje, da se določbe XV. poglavja vzorca pogodbe, zlasti 27. člena, nanašajo na aktivnosti izvajalca v sistemih naročnika oziroma na podatke, ki jih naročnik posreduje izvajalcu za namen izvajanja pogodbe, ter ne posegajo v interne operaterske procese izvajalca oziroma v obdelave, ki jih ta izvaja kot samostojni upravljavec na podlagi veljavnih predpisov.
Ad3) Naročnik hkrati pojasnjuje, da se obveznost predložitve seznama oseb in podpisanih izjav o varovanju zaupnih podatkov nanaša na osebe izvajalca, ki bodo sodelovale pri izvajanju pogodbenih obveznosti in se bodo pri tem seznanjale z zaupnimi podatki naročnika«,
s čimer so ti odgovori postali del dokumentacije v zvezi z oddajo javnega naročila (tretja poved iz prvega odstavka 67. člena ZJN-3).

Čeprav je vlagatelj uveljavljal, da je naročnik s temi odgovori podal omejitve, takih omejitev ni podal za celoten režim ravnanja po Uredbi DORA, saj naj bi bili točki 15.4.7 dokumentacije v zvezi z oddajo javnega naročila in 19. člen vzorca pogodbe še nadalje oblikovani tako, da naročniku dopuščajo širok in nediferenciran režim dostopa, pregledov in revizij. Državna revizijska komisija ne more slediti vlagatelju.

Državna revizijska komisija ugotavlja, da je naročnik že v dokumentaciji v zvezi z oddajo javnega naročila (točka 15.4.7) jasno in nedvoumno navedel, da »je zavezan upoštevati in zagotoviti skladnost« s predpisi Evropske unije, »vendar izključno v obsegu, ki je glede na predmet naročila potreben« (prvi odstavek), pri čemer »se zahteve, povezane z DORA uporabljajo le za tisti del izvajalčevih storitev, sistemov, dokumentacij, virov in podatkov, ki so neposredno povezani s predmetom naročila. Naročnik ne bo zahteval dostopa do celotnega poslovanja ponudnika, temveč le do tistega dela, ki ga zahteva DORA v povezavi z izvajanjem predmeta javnega naročila. Naročnik bo vse zahteve povezane z DORA izvajal sorazmerno glede na izdelano oceno tveganj ter omejeno na predmet javnega naročila. Naročnik bo pri zahtevah povezanih z DORA spoštoval poslovne skrivnosti in zaupne informacije ponudnikov ter tretjih oseb. Naročnik bo pri izpolnjevanju zahtev DORA, kjer bo primerno, kot dokazila o skladnosti upošteval standardizirane certifikate in obstoječa revizijska poročila. Vse pravice naročnika in obveznosti izvajalca, ki izhajajo iz DORA in smernic EBA, se uporabljajo izključno v obsegu storitev, sistemov, dokumentacije, procesov in podatkov, ki so neposredno povezani z izvajanjem te pogodbe, ter v obsegu, ki je nujen za izpolnjevanje regulatornih obveznosti naročnika. Navedene zahteve ne dajejo naročniku pravice do splošnega vpogleda ali nadzora nad poslovanjem izvajalca izven okvira predmetne pogodbe.« (drugi in tretji odstavek). Iz navedenega besedila je razvidno, da se je naročnik že v dokumentaciji v zvezi z oddajo javnega naročila svoja ravnanja omejil in se pri tem skliceval tako dejansko kot po vsebini na načelo sorazmernosti. Ravnanje v skladu z načelom sorazmernosti pri izvajanju pogodbe je naročnik potrdil tudi v odgovoru, objavljenem 23. 6. 2026 ob 16.02 na portalu javnih naročil, ki je postal del dokumentacije v zvezi z oddajo javnega naročila (tretja poved iz prvega odstavka 67. člena ZJN-3). Naročnik je izrecno uveljavljal, da bo svoja ravnanja izvajal v mejah veljavnih predpisov in torej tudi Uredbe DORA »izključno v obsegu, ki je glede na predmet naročila potreben«. Vlagatelj je lahko že na podlagi take naročnikove zaveze seznanjen, da se je naročnik omejil le na tisto, kar mu Uredba DORA omogoča, pri čemer mu to Uredba DORA omogoča le ob upoštevanju načela sorazmernosti (4. člen Uredbe DORA). Uredba DORA je za naročnika kogenten (zavezujoč) predpis. Iz dokumentacije v zvezi z oddajo javnega naročila in odgovorov na portalu javnih naročil zato izhaja zadostno jasna naročnikova omejitev določenih ravnanj, pri čemer je naročnik tudi izrecno izključil, da bi pri vlagatelju posegal v tisto, kar ni v povezavi s predmetom pogodbe o izvedbi javnega naročila.

Državna revizijska komisija v tem delu zahtevka za revizijo zato ni mogla ugotoviti naročnikove kršitve ZJN-3. Naročnik je ravnal transparentno (6. člen ZJN-3) in pri oblikovanju zahtev tudi sorazmerno (8. člen ZJN-3). Vlagatelj ni v slabšem ali drugačnem položaju kot drugi gospodarski subjekti, zato je zagotovljena tudi enakopravna obravnava ponudnikov (7. člen ZJN-3).

Vlagatelj je v 6. točki III. poglavja zahtevka za revizijo navedel, da:
− je naročnik določil predmet kot enovit in ga ni razdelil na sklope, pri čemer je v predmet javnega naročila vključil tudi dobavo mobilnih telefonov,
− ne izpodbija naročnikove presoje, da vodi javno naročilo kot enotno, pa tudi se zaveda, da naročnik ni vedno dolžan razdeliti javnega naročila na sklope,
− v konkretnem primeru napada naročnikovo opustitev, ker ni odgovoril na poziv gospodarskega subjekta, ki je bil objavljen 23. 6. 2026 ob 16.07 na portalu javnih naročil, saj je naročnik zgolj napotil na odgovor, objavljen 23. 6. 2026 ob 16.02, ki pa ne obravnava dobave blaga oziroma dobave mobilnih telefonov,
− iz ureditve iz Uredbe DORA ne izhaja avtomatično, da se enak režim nanaša tudi na dobavo mobilnih naprav kot blaga,
− če bi naročnik menil, da dobava mobilnih naprav kakorkoli podpira kritične in pomembne funkcije, bi moral to izrecno, konkretno in vsebinsko utemeljiti, pri čemer, če tega ne zatrjuje, bi moral jasno določiti, da se režim iz člena 30(3) Uredbe DORA ne nanaša na dobavo mobilnih naprav,
− ker naročnik tega ni storil, je vlagatelj prisiljen enotno obravnavati predmet javnega naročila, čeprav ta zajema vsebinsko in tržno heterogene segmente, ki so med seboj ločljivi,
− takšna združitev ima neposreden vpliv na konkurenco, saj ponudniki, ki so sposobni za zagotavljanje elektronskih komunikacijskih storitev, niso nujno sposobni ali konkurenčni pri dobavi mobilnih naprav, medtem ko dobavitelji naprav niso nujno ponudniki elektronskih komunikacijskih storitev, zaradi česar je krog potencialnih ponudnikov neupravičeno omejen oziroma se ekonomski pogoji udeležbe v postopku umetno zaostrujejo, kar vpliva na konkurenčnost ponudbe,
− to uveljavlja tudi v okviru očitka, da naročnik ni jasno razmejil uporabe zahtev iz člena 30(3) Uredbe DORA glede ena posamezne dele predmeta javnega naročila, zaradi česar dokumentacija v zvezi z oddajo javnega naročila v tem delu ne omogoča jasne določitve obsega pogodbenih obveznosti niti predvidljive ocene prevzetih tveganj.

Državna revizijska komisija ugotavlja, da med vlagateljem in naročnikom ni sporno, da naročnik oddaja javno naročilo, ki ni razdeljeno na sklope, poleg tega pa med njima ni sporno, da del predmeta javnega naročila predstavlja blago. Naročnik je to izrecno izjavil v odločitvi o zahtevku za revizijo, str. 16, predzadnji odstavek, ko je navedel, da »glede dobave mobilnih telefonov« »ne gre za storitev pač pa za dobavo blaga, kot to pravilno ugotavlja vlagatelj«.

Vlagatelj je v zahtevku za revizijo uveljavljal, da ne napada tega, da naročnik ni razdelil javnega naročila na sklope, pač pa izpostavlja, da naročnik z odgovorom, objavljenim 23. 6. 2026 ob 16.07 na portalu javnih naročil, ni odgovoril na vprašanje (pri čemer vlagatelj citira le del tega vprašanja), ki se v polnosti glasi:
»Ugotavljamo, da naročnik v razpisni dokumentaciji na več mestih navaja, da:
- je pri oddaji javnega naročila zavezan Uredbi (EU) 2022/2554 Evropskega parlamenta in Sveta z dne 14. decembra 2022 o digitalni operativni odpornosti za finančni sektor in spremembi uredb (ES) št. 1060/2009, (EU) št. 648/2012, (EU) št. 600/2014, (EU) št. 909/2014 in (EU) 2016/1011 (Uredba DORA),
- bo skladno z uredbo DORA (28. člen, točka 6.) uveljavljal pravico do dostopa, inšpekcijskih pregledov in revizij oziroma
- se izvajalec zavezuje izkazovanju izpolnjevanja pogojev v skladu z DORA, z EBA Smernicami o zunanjem izvajanju (EBA/GL/2019/02) in EBA Smernicami o upravljanju tveganj, povezanih z IKT in varnostjo (EBA/GL/2019/04).
Opozarjamo vas na nezakonitost navedenih razpisnih določil, saj javno naročilo ne sodi v režim Uredbe DORA. Predmet javnega naročila je zagotavljanje storitev fiksne in mobilne telefonije, dobava mobilnih naprav, zakup internetnih linij z DDoS zaščita, vzpostavitev internetnega priključka na rezervni lokaciji ter izvajanje storitev SMS obveščanja. Gre torej za običajne telekomunikacijske storitve in ne za t.i. IKT storitve.
Zagotavljanje storitev fiksne in mobilne telefonije ter izvajanje storitev SMS predstavlja klasično telekomunikacijsko storitev. Dobava mobilnih naprav je dobava blaga (hardware) in ne storitev. Zakup internetnih linij z DDoS zaščito predstavlja internetno povezavo, ki je telekomunikacijska storitev, DDoS zaščita pa je obravnavana kot tehnična lastnost povezljivosti (del omrežne infrastrukture ponudnika) in ne samostojna IKT storitev.
Nobena od teh storitev (oziroma dobav blaga) ne spada pod kritično in pomembno funkcijo, katere izpad bi bistveno ogrozil finančne rezultate, storitve ali regulativno skladnost finančne institucije, kar izhaja tudi iz dosedanje prakse v razmerju med ponudniki teh storitev in naročniki, ki so finančne institucije (banke, zavarovalnice). Nobenega dvoma ni, da predmet javnega naročila ne spada v ingerenco Uredbe DORA. Glede na vse navedeno naročnika pozivamo, da razpis prilagodi na način, da bo navedeno upoštevano - storitve, ki so predmet javnega naročila, niso storitve IKT in ne sodijo v področje Uredbe DORA oziroma ne spadajo pod kritično in pomembno funkcijo, ponudniki (izvajalec) pa z razpisnimi določili, ki ponudnike oz. izvajalca v tem obsegu zavezujejo k ravnanju v skladu z Uredbo DORA, niso zavezani. V zadevi opozarjamo, da bomo v primeru negativnega odgovora na ta poziv uveljavljali pravno varstvo skladno z ZPVPJN«,
temveč je napotil le na odgovor, objavljen 23. 6. 2026 ob 16.02 na portalu javnih naročil, ki »niti z besedo ne omenja ''dobava blaga'' ali ''dobava mobilnih naprav«, glede česar je bilo vprašanje tudi zastavljeno« (zahtevek za revizijo, str. 17–18).

Državna revizijska komisija ugotavlja, da je vlagatelj izpostavil citirano vprašanje le v obsegu nabave mobilnih naprav. Čeprav je naročnik z odgovorom na citirano vprašanje napotil na drug odgovor, tistega, ki je bil objavljen 23. 6. 2026 ob 16.02 na portalu javnih naročil, slednji odgovor zadosti jasno pove, da naročnik zahtev Uredbe DORA ne veže na blago in torej mobilne naprave. Naročnik namreč v odgovoru izrecno uveljavlja, da »se zahteve, povezane z DORA uporabljajo le za tisti del izvajalčevih storitev, sistemov, dokumentacij, virov in podatkov, ki so neposredno povezani s predmetom naročila«. Naročnik se je v odgovoru jasno in nedvoumno omejil na to, da zahteva ravnanje skladno z Uredbo DORA le glede storitev, kar dobava mobilnih telefonov, ki so blago, ni. Zato v tem smislu tudi ni nejasnosti, ali se člen 30(3) Uredbe DORA (ne) uporablja za dobave mobilnih naprav. Dokumentacija v zvezi z oddajo javnega naročila je v tem obsegu jasna in nedvoumna.

Pri tem Državna revizijska komisija dodaja, da vlagatelj ni zagovornik javnega interesa, saj ni kateri izmed subjektov iz drugega odstavka 6. člena ZPVPJN, zato ne more varovati položaja drugih gospodarskih subjektov, če z njimi ne sodeluje pri javnem naročilu, in tako ne more uveljavljati varstva javnega interesa. Četudi bi vlagatelj sodeloval z drugimi gospodarski subjekti, pa sploh ne uveljavlja, da ne more ne sam ne s temi gospodarski subjekti ponuditi mobilnih naprav. Vlagatelj tako zaradi naročnikove zahteve, da je treba ponuditi tudi mobilne naprave, ni izkazal posega v svoj položaj pri tem javnem naročilu (prim. tudi prvo alineo prvega odstavka 14. člena ZPVPJN, ki zahteva izkaz tako interes za pridobitev javnega naročila kot vsaj možnost nastanka škode). Z vlagateljevega položaja sicer tudi ni smiselno, da problematizira domnevno omejevanje konkurence, če je sam v položaju, ko mu ni onemogočeno, preprečeno ali oteženo zagotavljati kot dela predmeta javnega naročila tudi mobilne naprave.

Državna revizijska komisija v tem delu zahtevka za revizijo zato ni mogla ugotoviti naročnikove kršitve ZJN-3.

Vlagatelj je v 7. točki III. poglavja zahtevka za revizijo navedel, da:
− lahko ponudbo pripravi na podlagi realnih predpostavk, pri čemer ne more pa oddati ponudbe tako, da prezre zahteve iz dokumentacije v zvezi z oddajo javnega naročila in upa, da jih bo kasneje prezrl tudi naročnik ali da jih ne bo obravnaval v polnem obsegu, prav tako ne more oddati ponudbe s pridržki,
− če je dokumentacija v zvezi z oddajo javnega naročila nejasna, široka in nesorazmerna, to neposredno vpliva na vsebino in ekonomske postavke ponudbe, pri čemer bi mora zaradi sedanje dokumentacije v zvezi z oddajo javnega naročila v celo vključiti številne stroške zaradi različnih tveganj, kar mu onemogoča priprave ekonomsko realne in primerljive ponudbe, saj bodo različni gospodarski subjekti različno reagirali na zahteve iz dokumentacije v zvezi z oddajo javnega naročila, kar pomeni, da bo naročnik primerjal ponudbe, ki ne temeljijo na istih predpostavkah, kar je v nasprotju z vsemi temeljnimi načeli.

Državna revizijska komisija se strinja z vlagateljem, da mora pri pripravi ponudbe upoštevati dokumentacijo v zvezi z oddajo javnega naročila in ne more dajati pridržkov. Čeprav se Državna revizijska komisija strinja z vlagateljem, da mora pri oblikovanju cene upoštevati različne stroške, naročnik pa mora zagotoviti enakopravno obravnavo ponudnikov (7. člen ZJN-3), vlagatelj v točkah zahtevka za revizijo pred to točko ni uspel utemeljiti obstoja naročnikovih kršitev ZJN-3. Zato Državna revizijska komisija ni imela podlage, da bi lahko v zvezi s to točko zahtevka za revizijo lahko ugotovila kakšno naročnikovo kršitev ZJN-3.

Vlagatelj je v 8. točki III. poglavja zahtevka za revizijo navedel, da:
− naročnik z odgovori na portalu javnih naročil ugotovljenih nejasnosti in nesorazmernosti ni odpravil, temveč jih je v bistvenem potrdil,
− dokumentacija v zvezi z oddajo javnega naročila v izpodbijanih delih ostaja nejasna, notranje neskladna in nesorazmerna, pri čemer ne omogoča priprave vsebinsko, pravno in ekonomsko primerljivih ponudb na enotni in preverljivi podlagi,
− taka ureditev ne zagotavlja enakega izhodišča za pripravo ponudb, zaradi česar vodi v izkrivljanje konkurence, neprimerljivost ponudb in nepredvidljivost pogodbenega razmerja, kar je v nasprotju z načeli transparentnosti javnega naročanja, enakopravne obravnave ponudnikov in sorazmernosti.

Vlagatelj v tej točki zahtevka za revizijo le povzema očitke iz drugih točk zahtevka za revizijo in ne uveljavlja novih kršitev. Državna revizijska komisija se je do posameznih očitkov opredelila, pri čemer ni mogla pritrditi vlagatelju, da je naročnik storil kršitve ZJN-3. Kot tudi že pojasnjeno, Državna revizijska komisija ni mogla ugotavljati kršitev Uredbe DORA, saj za to ni pristojni organ.

Upoštevajoč vse navedeno Državna revizijska komisija ni mogla ugotoviti, da je zahtevek za revizijo utemeljen, zato ga je skladno s prvo alineo prvega odstavka 9. člena ZPVPJN zavrnila.

S tem je utemeljena odločitev Državne revizijske komisije iz 1. točke izreka tega sklepa.

Vlagatelj ni uspel z zahtevkom za revizijo, zato je Državna revizijska komisija zavrnila njegovo zahtevo za povrnitev stroškov (tretji odstavek 71. člena ZPVPJN).

S tem je utemeljena odločitev Državne revizijske komisije iz 2. točke izreka tega sklepa.


Pravni pouk:
Zoper to odločitev o zahtevku za revizijo ni dovoljen upravni spor po 39.a členu ZPVPJN.


Predsednik senata:
Andraž Žvan, univ. dipl. prav.,
član Državne revizijske komisije































Vročiti (na portalu eRevizija):
˗ naročnik,
˗ vlagatelj po pooblaščencu,
˗ Republika Slovenija, Ministrstvo za notranje zadeve in javno upravo.

Vložiti:
˗ v spis zadeve, tu.

Natisni stran