Servicii de dezvoltare a soluției complexe care include componentă tehnică și de program destinate creării cheilor publice și private, și creării, verificării, validări a serviciilor de încredere calificate

În secțiunea Licență din caietul de sarcini, este menționată o licență perpetuă, cu un număr de utilizatori de 2 milioane și tranzacții nelimitate. Totuși, având în vedere că sunt solicitate servicii de dezvoltare pentru componente tehnice și de program, solicităm clarificarea modului în care se vor aplica aceste licențe în contextul componentelor dezvoltate la cerere. Această ambiguitate poate fi interpretată greșit de către ofertanți, creând confuzii în ceea ce privește costurile și modelul de licențiere aplicabil. Astfel de omisiuni sau lipsa clarității în descrierea cerințelor contravin principiilor esențiale ale transparenței, egalității de tratament și competiției corecte prevăzute de legislația privind achizițiile publice. Neconformitatea acestui aspect cu cerințele legale poate afecta întregul proces de achiziție și poate duce la depunerea unor oferte eronate sau incomplete. Vă solicităm să revizuiți în întregime caietul de sarcini, clarificând explicit termenii de licențiere, în special în contextul serviciilor de dezvoltare solicitate, pentru a respecta în totalitate principiile legale și a asigura un proces competitiv echitabil.

“însă se constată lipsa unui instrument integrator care va consolida toate instrumentele existente la moment, precum se observă necesitatea stringentă în extinderea funcționalității și modului de aplicare a infrastructurii cheilor publice” — Care soluții deja exista, care trebuie sa fie dezvoltate, si care trebuie sa fie extinse?

Reprezintă aceasta termenul de implementare cerut de către beneficiar, sau este doar exemplu? Daca termenul este de 60 zile, înseamnă asta ca se solicita achiziționarea unei soluții existente cu configurarea ei pentru necesitatele STISC?

“Soluția trebuie sa ofere: un vizualizator de documente” — Se precepe ca acest vizulizator ca o soluție web de lucru cu documentele in formatele enumerate, o prezentare a documentelor convertite in PDF sau reprezinta documentele in forma de lista.

“Soluția trebuie să fie disponibilă ca interfață web și aplicație mobilă” — Exista preferințe/cerințe de limbaj/tehnologie pentru partea de Backend, WEB si Mobile application?

Care este statutul soluțiilor care trebuiesc integrate? Ele sunt gata de integrare 100% sau necesita careva modificări/ajustări pentru integrare? Cine asigura ajustările pentru integrare in caz ca ele sunt necesare?

“Posibilitatea integrării în infrastructura cheilor publice și servicii de marcare temporală existente” — Aceste servicii au documentație si suport pentru integrare si documentația configurării existente?

“Componentele și soluția în general trebuie să fie în conformitate cu standardelor internaționale inclusiv cu FIPS 140-2 sau de CommonCriteria, precum și  la nivel UE” — Există cerințe suplimentare de conformitate care nu sunt menționate în document? Vor fi actualizări a standardelor în viitorul apropiat? Cine va fi responsabil de monitorizare si actualizare a acestor prevederi?

“Oferirea mediului de testare (pre-producție) și mediului de producție și mediul de recuperare în caz de dezastru” — Cine asigura aceste medii, ofertantul sau beneficiarul?

“Acceptă mai multe tipuri de flux de lucru hibrid, în serie de semnături (de exemplu, un flux de lucru care definește o ordine de secvență pentru semnatarii unui document, un flux de lucru în care fiecare semnatar semnează „copia sa” a documentului sau o combinație a ambelor)” — fluxurile vor fi predefinite la dezvoltare ca hard-code, sau se cere ca ele se fie configurabile si dinamice?

“Furnizeze un raport sigilat de dovezi ale fluxului de lucru care curprinde fiecare detaliu al procesului de semnătură” — Ce presupune “un raport sigilat de dovezi”. Se refera la jurnalizarile de audit, sau e ceva mai complex?

“Soluția trebuie să ofere capacitatea de integrare cu IdP-urile organizației” — Pentru aceasta funcționalitate se presupune existenta unor conectori predefiniti. Ce se intimpla pentru restul tipurilor idP? E necesar ca sistemul sa fie capabil sa accepte o integrare custom?

“Soluția trebuie să ofere capacitatea de a configura branding la nivel de organizație” — Aceasta cerința presupune doar configurarea de logo si gama de culori?

“Oferere capabilități avansate de raportare” — Cate rapoarte trebuie sa fie disponibile? Capabilitati avansate se referă la construire dinamica a rapoartelor sau doar filtrări predefinite a datelor?

“Ofere posibilitatea de a configura gateway-uri de plată” — Cate gateway-uri de plata se planifica de a fi integrate? Se cunoaște care vor fi ele?

“Asigurarea integrității jurnalelor de evenimente pentru orice tip de investigație (forensics)” — se referă la o metoda sau format anume de jurnalizare? Va rugam sa da-ti mai multe detalii.

“Titularul contractului va defini cazurile de utilizare care urmează să fie implementate cu STISC, în conformitate cu cele mai recente versiuni ale standardelor enumerate în prezentul caiet de sarcini.” — pentru a livra o oferta calitativa, avem nevoie de mai multa claritate: Cate cazuri de utilizarea se prevăd acum?

Va rugam sa specificati daca exista deja echipamente specifice la sediul Beneficiarului - care sunt aceatea si ce caracteristici au si daca acestea trebuie integrate in solutia ofertata?

Va rugam sa clarificati urmatoarea cerinta: Modulul SAM trebuie să fie un aparat fizic inviolabil care să se integreze cu un HSM extern certificat EN 419 221-5. Aceasta presupune ca dvs solicitați componenta hardware?

Cu referire la cerinta: Modulul SAM trebuie să fie certificat în Common Criteria EAL4+ și EN 419 241 1 & 2. Intrebare: In scopul asigurarii unei achizitii transparente, abstractizindu-ne de cele ce se vehiculeaza in presa, rugam sa precizati de ce s-a solicitat "Common Criteria EAL4+ și EN 419 241 1 & 2" ? cind conform cadrului european, poate fi sau? va rugam substituirea sintagmei "si" cu "si/sau"

Referitor la cerința ca Modulul SAM să realizeze următorii algoritmi: RSA 2048, 3072, 4096, 8192, ECDSA 256, 384, 521, SHA-256, SHA-384, SHA-512, vă rugăm să ne precizați dacă aceste specificații au fost stabilite ținând cont de tendințele actuale și de evoluțiile anticipate în domeniul PKI pe termen mediu și lung, având în vedere tranziția către algoritmi post-cuantici și cerințele viitoare de securitate?

va rugam sa clarificați următoarea cerință:Soluția trebuie să vină cu sau să se integreze cu MobileCA pentru a genera Certificat pentru dispozitive mobile pentru a semna SAD. ce presupune? va referiți la inteligenta artificiala?

cernta:Soluția trebuie să: • Suportă mai multe sisteme de operare, inclusiv Microsoft Server și diverse distribuții Linux • Ofere compatibilitate cu o gamă largă de baze de date, inclusiv Microsoft SQL Server, Oracle, PostgreSQL, MySQL și Percona-XtraDB-Cluster • Asigure securitatea datelor cu modulele de securitate hardware (HSM) precum Utimaco CP5, Thales Luna și Entrust nShield este un abus vadit!, va rugam sa revizuiti in totalitate cerinta!

Our company, based in Tallinn and with extensive experience in public procurement procedures both in Estonia and across other EU member states, has conducted a thorough analysis of the terms of reference. We would like to highlight some significant concerns that cast doubt on the transparency and fairness of this procurement process. Firstly, we have identified that certain requirements in the document are drafted in a manner that can lead to confusion and misinterpretation, particularly regarding the solution’s compatibility with current standards and technologies. For instance, the specifications related to compatibility with various operating systems and databases lack precise details regarding the supported versions or interoperability requirements. This ambiguity allows room for subjective interpretation and may favor specific bidders over others, thereby violating the principle of equal opportunity. Secondly, we noticed that the requirements regarding integration with the specified hardware security modules (HSM) are insufficiently detailed, leaving critical aspects concerning compliance with relevant European and international standards unclear. Furthermore, the exact manner in which these modules will interact with the broader infrastructure remains ambiguous. Such an approach could jeopardize the security and functionality of the final solution, which are paramount to the success of any large-scale project. Given these observations, we strongly recommend a comprehensive revision of the terms of reference. It is crucial that the requirements are articulated with clarity and precision, and that the project timelines are realistic. We suggest setting a development and implementation period of at least 6-9 months. Such a revision would ensure fair and transparent competition while guaranteeing the delivery of a compliant and effective solution.

În temeiul art. 71 alin. (1) lit f) din Legea nr. 131/2015 privind achizițiile publice.

Declaration of absence of conflict of interest and confidentiality