Uitspraken

[partij] heeft - kort gezegd - primair gevorderd om te mogen tussenkomen en subsidiair om zich te mogen voegen.

De voorzieningenrechter zal de vordering van [partij] om te mogen tussenkomen toewijzen. [partij] heeft een zelfstandige vordering geformuleerd, namelijk Rova te veroordelen om de voorlopige gunningsbeslissing in stand te houden en haar te gebieden de Opdracht definitief aan [partij] te gunnen, indien en voor zover Rova de Opdracht nog wenst te verstrekken. [partij] heeft vanwege een dreiging van het verlies van het recht op gunning, een voldoende belang bij tussenkomst.

Nu geen verweer is gevoerd tegen de gevorderde tussenkomst kan naar het oordeel van de voorzieningenrechter worden volstaan met een veroordeling van MOD in de kosten van het geding in het incident, te begroten op nihil.

MOD vordert - samengevat - dat de voorzieningenrechter bij vonnis, voor zover mogelijk uitvoerbaar bij voorraad,

De voorzieningenrechter stelt voorop dat MOD voldoende spoedeisend belang heeft bij het gevorderde.

De kern van het geschil betreft de vraag of [partij] heeft voldaan aan de gestelde ISO 27001/27002 certificeringseis door een beroep te doen op het ISO 27001-certificaat van een door haar ingeschakelde onderaannemer.

[partij] stelt zich – kort gezegd – op het standpunt dat het betoog van MOD er op neer komt dat de gestelde geschiktheidseis ISO 27001-certificering zonder scope, wordt uitgebreid tot een ISO 27001-certificering mèt scope (namelijk alle onderdelen van de Opdracht), omdat de certificering anders nergens meer toe zou dienen. In juridische zin komt dat neer op het “erbij interpreteren” van een extra geschiktheidseis, namelijk een geheel waterdichte ISO 27001 certificering op de hele opdracht. [partij] stelt dat dat niet in de aanbestedingsstukken staat en dat het zo niet door [partij] en door de derde inschrijver is begrepen. Bovendien heeft MOD hierover geen vragen gesteld. Voldoende is dat een onderaannemer met een ISO 27001-certificaat daadwerkelijk voor de Opdracht wordt ingeschakeld. De onderaannemer van [partij] wordt ingeschakeld voor dat deel van de Opdracht waar ISO 27001 relevant voor is, voor de beveiliging van dataverkeer, niet voor de productie van een apparaat en de software erop. Nu vaststaat dat MOD niet zelf gecertificeerd is voor de hosting van data en zij daarvoor geen beroep heeft gedaan op een derde is daarmee volgens [partij] gegeven dat MOD de geschiktheidseis begrepen heeft zoals [partij] en de derde inschrijver dat hebben gedaan, namelijk dat het bezit van een certificaat ISO 27001, zonder relevantie van de scope ervan, voldoende is om geldig te kunnen inschrijven en dat met het vast staan van de beperkte scope van MOD ook vast staat dat als MOD in haar stellingen wordt gevolgd zij ook zelf ongeldig heeft ingeschreven.

De voorzieningenrechter overweegt als volgt.

Het uitgangspunt bij (Europese openbare) aanbestedingen is dat inschrijvers een beroep mogen doen op onderaannemers om te kunnen voldoen aan de geschiktheidseisen. Dat betekent dat inschrijvers niet per definitie zelf aan alle geschiktheidseisen hoeven te voldoen, zij mogen daarbij hulp van een derde inschakelen.

Aanbestedende diensten kunnen als bewijs van het voldoen aan geschiktheidseisen vragen om certificaten. Dat kan ook bij eisen die specifiek zien op kwaliteitsbewaking. Daarbij moet worden aangesloten bij kwaliteitsbewakingsregelingen die op de Europese normenreeksen op dit terrein zijn gebaseerd, zoals bijvoorbeeld ISO en NEN (artikel 2.96 lid 1 Aw 2012).

In het onderhavige geval heeft Rova wat betreft de informatiebeveiliging ter zake perceel 2 gevraagd om een ISO 27001-certificaat (of gelijkwaardig). Tussen partijen is niet in geschil dat dit een geschiktheidseis is. Op grond van hoofdstuk IV onder E van de Aanbestedingsleidraad is het mogelijk om ten aanzien van een geschiktheidseis een beroep te doen op de derde. Dat heeft [partij] gedaan. Zij doet namelijk een beroep het ISO 27001-certificaat van een door haar ingeschakelde onderaannemer.

Voor zover MOD heeft betoogd dat [partij] niet heeft aangetoond dat zij voldoet aan de certificeringseis, omdat het betreffende ISO 27001-certificaat niet is overgelegd en ook de naam van de onderaannemer niet kenbaar is gemaakt, overweegt de voorzieningenrechter dat een aanbestedende dienst in beginsel mag afgaan op hetgeen door de inschrijver schriftelijk is ingediend2. Dat neemt echter niet weg dat op de aanbestedende dienst ook een eigen (zelfstandige) verificatieplicht kan rusten, met name wanneer er gerede twijfel is op een onderdeel van de inschrijving. In randnummer 41 van de conclusie van antwoord heeft Rova bevestigd dat bij de inschrijving van [partij] het ISO 27001-certificaat van de onderaannemer waarop [partij] een beroep doet was gevoegd en is door Rova gesteld dat zij voorafgaand aan de voorlopige gunningsbeslissing van 25 augustus 2023 een toetsing van de inschrijving van [partij] heeft verricht. Tevens is daarbij door Rova gesteld dat zij naar aanleiding van de bezwaren van MOD, een (in haar haar ogen onverplichte) verificatie heeft verricht en dat in dat kader door [partij] onvoorwaardelijk is bevestigd dat de onder perceel 2 van de aanbesteding vallende werkzaamheden waarop het ISO 27001-certificaat van de onderaannemer betrekking heeft daadwerkelijk door deze onderaannemer zullen worden uitgevoerd. Een en ander is door Rova ook aan MOD meegedeeld bij brief van 18 september 2023. Niet kan worden geconcludeerd dat de handelwijze van Rova onjuist is geweest. Inzage in de inschrijving van [partij] dan wel overlegging van het ISO 27001-certificaat strookt niet met de vaste rechtspraak zoals hiervoor is verwoord en zou het karakter hebben van een fishing expedition.

Het betoog van MOD dat [partij] niet aan de ISO 27001-certificeringseis voldoet, omdat zij een beroep doet op het ISO 27001-certificaat van een onderaannemer dat niet aansluit bij de Opdracht, althans slechts ziet op een klein onderdeel van de Opdracht, slaagt naar het oordeel van de voorzieningenrechter niet. Daarvoor is redengevend dat het tot de discretionaire bevoegdheid van de aanbestedende dienst behoort om de aanbesteding vorm te geven binnen de aanbestedingsrechtelijke kaders. Door Rova zijn in de Aanbestedingsleidraad geen specifieke eisen aan de reikwijdte (“scope”) van het ISO 27001-certificaat gesteld. Rova heeft alleen als eis gesteld dat een inschrijver (al dan niet door een beroep te doen op een derde) moet beschikken over een ISO 27001 of ISO 27002-certificaat (of gelijkwaardig). Een verdere “scope” of specificering is niet opgenomen in de aanbestedingsstukken en kan er naar het oordeel van de voorzieningenrechter ook niet in worden gelezen.3 Uit het voorgaande volgt (ook) dat de door MOD ingenomen conclusie dat het gezien de aard van de Opdracht en de aard van het ISO-certificaat geen twijfel lijdt dat de volledige Opdracht door een gecertificeerde opdrachtnemer moet worden uitgevoerd, een conclusie is die naar het oordeel van de voorzieningenrechter niet kan worden getrokken. De verwijzing naar het vonnis van rechtbank ’s-Gravenhage van 25 september 20094 kan MOD in dit verband niet baten. In rechtsoverweging 3.3. wordt immers overwogen dat uit paragraaf 3.1 van het bij die aanbesteding behorend beschrijvend document kan worden afgeleid dat “de betreffende onderaannemer alle bedrijfsprocessen voor zijn rekening neemt”. Dit duidt erop dat er in die aanbesteding, in tegenstelling tot onderhavige aanbesteding, wel specifieke eisen zijn gesteld. Het beroep op het arrest van het Hof van Justitie van 7 april 20165 slaagt naar het oordeel van de voorzieningenrechter evenmin, nu, met inachtneming van hetgeen is overwogen onder 4.14 voldoende aannemelijk is dat de onderaannemer de werkzaamheden verricht waarop het ISO 27001-certificaat van deze onderaannemer betrekking heeft. De onderaannemer neemt dus deel aan de uitvoering van de Opdracht. Dat de onderaannemer slechts een gedeelte van de Opdracht uitvoert, doet aan het voorgaande niet af.

Naar het oordeel van de voorzieningenrechter hadden alle inschrijvers, en dus ook MOD, redelijkerwijs behoren te begrijpen dat in de onderhavige aanbesteding wat betreft de certificeringseis ISO 27001 geen specifieke eisen worden gesteld. Indien zou moeten worden aangenomen dat (de reikwijdte van) de ISO 27001-certificeringseis voor MOD onduidelijk was, dan had het op haar weg gelegen om daarover tijdig vragen te stellen. Dit heeft zij nagelaten en komt voor haar rekening en risico.

Het bovenstaande leidt tot de conclusie dat het er voor moet worden gehouden dat de inschrijving van [partij] terecht als geldig is aangemerkt. Van schending van de aanbestedingsrechtelijke beginselen is naar het oordeel van de voorzieningenrechter geen sprake. Dit betekent dat de vorderingen van MOD afgewezen moeten worden.

In de stellingen van Rova ligt besloten dat zij (nog steeds) voornemens is om de Opdracht aan [partij] te gunnen. Bij die stand van zaken heeft [partij] geen belang bij toewijzing van haar vordering. Deze zal dan ook worden afgewezen.

Als de in het ongelijk gestelde partij zal MOD worden veroordeeld in de kosten van het geding aan de zijde van Rova. Deze kosten zullen worden begroot op € 676,- aan griffierecht en € 1.079,- aan salaris van haar advocaat. De nakosten worden begroot op
€ 173,- (plus de verhoging zoals vermeld in de beslissing). De gevorderde wettelijke rente over de proceskosten wordt toegewezen als na te melden.

Ondanks de afwijzing van het door [partij] gevorderde moet MOD in relatie tot [partij] worden aangemerkt als de in het ongelijk gestelde partij. Het doel van [partij] was immers te voorkomen dat de vorderingen van MOD zouden worden toegewezen, welk doel is bereikt. MOD zal dan ook worden veroordeeld in de proceskosten van [partij]. Deze kosten zullen worden begroot op € 676,- aan griffierecht en € 1.079,- aan salaris van haar advocaat. De nakosten worden begroot op € 173,- (plus de verhoging zoals vermeld in de beslissing). De gevorderde wettelijke rente over de proceskosten wordt toegewezen zoals vermeld in de beslissing.

[partij] zal wat betreft de door haar ingestelde vordering worden veroordeeld in de kosten van Rova, welke kosten worden begroot op nihil, nu niet is gebleken dat Rova als gevolg van deze vorderingen extra kosten heeft moeten maken.