Proportionality of mandatory private cybersecurity certifications in public procurement for national security infrastructure.

Şedinţa publică din data de 28 iunie 2023

Asupra recursului de faţă;

Din examinarea lucrărilor din dosar, constată următoarele:

1. Obiectul acţiunii deduse judecăţii

Prin cererea de chemare în judecată înregistrată pe rolul Curţii de Apel Bucureşti, secţia a VIII a contencios administrativ şi fiscal la data de 20.04.2017 sub nr. x/2017, reclamantul Serviciul Român de Informaţii - Unitatea Militară 0929 Bucureşti, reprezentat de Oficiul Juridic - Unitatea Militară 0198 Bucureşti a chemat în judecată pe pârâtul Ministerului Fondurilor Europene - Direcţia Generală Programe Competitivitate - Autoritatea de Management pentru POSCCE, pentru ca prin hotărârea ce se va pronunţa să se dispună:

- anularea, în totalitate, a Deciziei nr. 76099 din 15.11.2016, emisă de Ministerul Fondurilor Europene - Direcţia Generală Programe Competitivitate în cadrul proiectului "Sistem Naţional de protecţie a infrastructurilor IT&C de interes naţional împotriva ameninţărilor provenite din spaţiul cibernetic", cod SMIS 48723, ca neîntemeiată

şi, în subsidiar,

- obligarea pârâtei la rambursarea sumei de 299.440,47 RON, reprezentând contravaloarea corecţiei de 5% aplicate.

Prin sentinţa civilă nr. 5007/19.12.2017 Curtea de Apel Bucureşti, secţia a VIII-a contencios administrativ şi fiscal a admis cererea reclamantei; a anulat Decizia nr. 76099 din 15.11.2016 emisă de pârât în cadrul proiectului "Sistem Naţional de protecţie a infrastructurilor IT&C de interes naţional împotriva ameninţărilor provenite din spaţiul cibernetic", cod SMIS 48723; a obligat pârâtul să ramburseze reclamantului suma de 299.440,47 RON, reprezentând contravaloare corecţie de 5% aplicate.

Împotriva acestei sentinţe a formulat recurs pârâtul Ministerul Investiţiilor şi Proiectelor Europene.

Prin decizia civilă nr. 6177/19.11.2020 Înalta Curte de Casaţie şi Justiţie a admis recursul formulat de pârât; a casat sentinţa recurată şi a trimis cauza spre rejudecare la aceeaşi instanţă.

În rejudecare, cauza a fost înregistrată pe rolul Curţii de Apel Bucureşti, secţia a VIII -a contencios administrativ şi fiscal - Veche la data de 07.04.2021 sub nr. x/2017*.

2. Hotărârea primei instanţe

Prin sentinţa civilă nr. 322 din 19 noiembrie 2021 pronunţate de Curtea de Apel Bucureşti, secţia a VIII-a contencios administrativ şi fiscal s-a respins cererea de chemare în judecată formulată de reclamantul Serviciul Român fr Informaţii-Unitatea Militară 0929 Bucureşti-prin Oficiul Juridic Unitatea Militară 0198 Bucureşti cu sediul în Bucureşti în contradictoriu cu pârâtul Ministerul Investiţiilor şi Proiectelor Europene, ca neîntemeiată.

3. Calea de atac exercitată în cauză

Împotriva sentinţei menţionate la pct. 2 a formulat recurs reclamantul Serviciul Român de Informaţii - Unitatea Militară 0929 Bucureşti prin Oficiul Juridic Unitatea Militară 0198 Bucureşti criticând-o pentru motivele de nelegalitate prevăzute de dispoziţiile art. 488 alin. (1) pct. 6 şi pct. 8 din C. proc. civ.

În dezvoltarea motivului de nelegalitate întemeiat pe dispoziţiile art. 488 alin. (1) pct. 6 din C. proc. civ., recurentul-reclamant a arătat că, în ceea ce priveşte considerentele circumscrise condiţiilor minime obligatorii solicitate de autoritatea contractantă prin documentaţia de atribuire, prima instanţă s-a limitat să afirme că acestea ar fi fost nejustificate doar din prisma faptului că specializările minime cerute nu sunt certificate de autorităţi publice sau organisme de drept public.

Or, simpla afirmaţie că "nu sunt justificate" nu este în măsură să asigure o motivare propriu-zisă a raţionamentului juridic avut în vedere de instanţa de fond pentru consemnarea unei asemenea afirmaţii, în condiţiile în care:

- s-a probat în toate ocaziile că obiectul contractului impunea cunoştinţe care nu se dobândesc în ciclurile de învăţământ clasice (universitare ori postuniversitare) ori prin cursuri de perfecţionare organizate de entităţi naţionale recunoscute oficial sau înfiinţate de statul român, ci doar pe calea parcurgerii de activităţi concrete in domeniul IT şi prin certificări oferite de entităţi din categoriile enumerate exemplificativ în documentaţia de atribuire doar acestea fiind recunoscute internaţional în sectorul de resort şi impuse fiind prin contractul de finanţare.

- chiar dispoziţiile H.G. nr. 925/2006 permiteau impunerea condiţii minime obligatorii pentru contractele de achiziţii publice având un obiect de complexitate deosebită, cum a fost cazul proceduri de achiziţie având ca obiect furnizarea de "Echipamente şi sisteme informatice Soluţii de monitorizare a traficului de reţea, Soluţii de tipul Endpoint Protection şi soluţie Network Forensics", în vederea îndeplinirii obligaţiilor asumate prin contractul de finanţare aferent proiectului "Sistem Naţional de protecţie a infrastructurilor IT&C de interes national impotriva ameninţărilo provenite din spaţiul cibernetic", cod SMIS 48723

- instanţa de fond nu arată raţionamentul logic care să înfrângă, în concret, natura complexă a obiectului contractului de achiziţie publică pentru care s-a aplicat corecţia, natură care se încadrează cu puterea evidenţei în dispoziţiile legale în vigoare la momentul respectiv.

Prima instanţă a preluat formal pasajele din Nota de constatare şi Decizia contestate referitoare la certificările de tip CISSP, SSCP, CRISC etc. impuse de autoritatea contractantă, reţinându-se că acestea nu sunt emise de vreo autoritate publică competentă şi nici de vreun organism de drept public sau privat, fiind emise de organizaţii care utilizează propria schemă de certificare.

În privinţa motivului de nelegalitate întemeiat pe dispoziţiile art. 488 alin. (1) pct. 8 din C. proc. civ., recurentul-reclamant a arătat că prima instanţă a nesocotit chiar dispoziţiile legale invocate în considerentele sentinţei recurate, respectiv art. 8 din H.G. nr. 925/2006 care prohibesc restricţionarea participării la procedura de atribuire a contractului de achiziţie publică prin introducerea unor cerinţe minime de calificare doar în situaţiile în care acestea nu prezintă relevanţă în raport cu natura şi complexitatea contractului de achiziţie publică ori sunt disproporţionate în raport cu natura şi complexitatea contractului de achiziţie publică de atribuit.

Însă cerinţele criticate de prima instanţă prezentau relevanţă în raport cu natura şi complexitatea contractului de achiziţie publică şi nu au fost disproporţionate în raport cu natura şi complexitatea contractului de achiziţie publică de atribuit.

Criteriile de calificare şi selecţie au fost aplicate de autoritatea contractantă în conformitate cu prevederile art. 176 lit. a) - f), art. 178 alin. (1) şi alin. (2) din O.U.G. nr. 34/2006, art. 179, alături de art. 7 art. 8 din H.G. nr. 925/2006, fiind limitate la cele strict necesare pentru a se asigura îndeplinirea în condiţii optime a contractului respectiv, luând în considerare exigentele specifice impuse de valoarea, natura şi complexitatea acestuia, nefiind disproporţionate faţă de acestea din urmă.

Având în vedere complexitatea proiectului, rezultă că cerinţa ca instructorii specializaţi ai operatorului economic să deţină cel puţin două dintr-o serie de certificări recunoscute la nivel mondial în domeniul securităţii cibernetice nu a fost una restrictivă şi nu a limitat în mod nepermis concurenţa între agenţii economici calificaţi pe acest tip de servicii.

Prin urmare, cerinţa nu contravenea prevederilor art. 8 alin. (1) din H.G. nr. 925/2006, în condiţiile în care, raportat la obiectul contractului, autoritatea contractantă a dorit să se asigure de o bună executare a contractului, iar potenţialii ofertanţi ar fi putut prezenta oricare dintre certificările enumerate de autoritatea contractantă.

De asemenea, din documentele dosarului de achiziţie publică nu rezultă că solicitarea ar fi limitat participarea unor operatori economici, nefiind depuse contestaţii şi nici solicitate clarificări cu privire la aceste aspecte şi, cu atât mai mult, nici autoritatea de management nu a adus vreo dovadă în susţinerea concluziilor sale privind nerespectarea principiului proporţionalităţii în cadrul procedurii în discuţie.

Cerinţele privind capacitatea tehnică şi/sau profesională au fost enunţate şi justificate de autoritatea contractantă prin Nota justificativă privind cerinţele minime de calificare nr. x/29.07.2014, acestea limitându-se numai la cele strict necesare pentru a se asigura îndeplinirea în condiţii optime a contractului, cu luarea în considerare a exigenţelor specifice impuse de valoarea, natura şi complexitatea acestuia, complexitatea proiectului a fost determinată de procesul de asigurare a securităţii cibernetice naţionale prin securizarea reţelelor informatice din categoria ICIN (Infrastructură Cibernetică de Interes National) şi prin implementarea unui sistem de management centralizat a incidentelor de securitate la nivel naţional, cu aplicarea tehnicilor de securizare prin prevenţie, detecţie, investigaţie şi corecţie în cadrul tuturor ICIN.

Din analiza celor enunţate, rezultă că implementarea proiectului nu era posibilă fără instruirea echipelor de răspuns la incidente de securitate cibernetică din cadrul Centrului National CYBERINT, destinate intervenţiei prompte şi oferirii de asistenţă tehnică de specialitate în cadrul unei investigaţii, operaţionalizării unui laborator malware pentru analiza aplicaţiilor maliţioase identificate în cadrul ICIN-urilor şi a unui sistem de management al evenimentelor de securitate destinat corelării şi interpretării evenimentelor colectate.

In acest sens, proiectul impunea instruirea specialiştilor/administratorilor IT din cadrul ICIN-urilor pentru utilizarea sistemelor şi soluţiilor propuse, instruire fundamentală pentru asigurarea bazei teoretice şi practice necesare bunei desfăşurări a activităţilor de prevenire şi contracarare a ameninţărilor cibernetice la nivel naţional.

Necesitatea asigurării cursurilor de către firmele producătoare ale soluţiilor de securitate sau de instituţii consacrate în domeniul securităţii cibernetice, capabile să asigure baza teoretică şi practică avansată de identificare şi analiză a atacurilor cibernetice şi aplicaţiilor maliţioase, este înscrisă şi în documentaţia proiectului aprobat spre finanţare.

Cerinţele caietului de sarcini au fost fundamentate pentru îndeplinirea obiectivelor proiectului, obiectul contractului nefiind unul de necesitate curentă, dimpotrivă fiind unul cu un grad ridicat de aplicabilitate şi importanţă la nivel naţional. Fiecare soluţie informatică definită, contractată, furnizată şi implementată în cadrul proiectului are impact la nivel naţional şi chiar internaţional, având în vedere importanţa şi riscurile asociate utilizării de către specialiştii din cadrul ICIN-urilor.

Pentru produsele furnizate în cadrul loturilor 2 şi 3, era imperios ca beneficiarii să fie în măsură să le utilizeze corespunzător şi fără să inducă riscuri, în baza unei instruiri adecvate efectuate de un instructor care deţine cunoştinţele necesare şi are o experienţă rezonabilă în instalarea şi configurarea produselor respective.

Cerinţele impuse sunt pe deplin justificate din perspectiva faptului că un instructor trebuie să deţină un bagaj de cunoştinţe în domeniul pe care va transmite informaţii unor cursanţi şi nu se poate regăsi în situaţia în care cursanţii au mai multe cunoştinţe decât instructorul.

Cursurile au fost solicitate pentru a fi predate unui număr semnificativ de specialişti/administratori IT din cadrul Centrului National CYBERINT şi a 54 de instituţii beneficiare şi cu un bagaj de cunoştinţe certificat, specialiştii Centrului National CYBERINT deţinând cel puţin două din certificările recunoscute la nivel internaţional, sens în care cerinţele au fost formulate pentru a răspunde nevoilor reale şi strict necesare îndeplinirii obiectivelor proiectului.

În prezent, în domeniul securităţii cibernetice nu există forme de pregătire acreditate în învăţământul mediu sau universitar, specializările efectuându-se prin eforturile proprii ale absolvenţilor de învăţământ mediu sau superior care urmează cursurile de pregătire din seria celor a căror dovadă de absolvire a fost solicitată de autoritatea contractantă.

Astfel, ISACA emitentul CISA şi CISM este cea mai cunoscută autoritate în domeniul auditului, controlului şi managementului securităţii sistemului informatic. Misiunea ISACA este de formare profesională şi îmbunătăţire a cunoştinţelor persoanelor care activează în domeniile de audit, control şi securitate a sistemelor similare informatice.

ISC2 este o organizaţie nonprofit în domeniul securităţii cibernetice, cu atribuţii

Elementele de descriere a celor două entităţi, informaţii publice, facil accesibile oricărei persoane interesate, inclusiv reprezentanţilor MIPE, contrazic afirmaţia că ISACA şi ICS2 sunt "fundaţii educaţionale".

De asemenea:

- prin fişa de date a achiziţiei au fost solicitate certificări emise şi de alte organisme internaţionale, nu doar de ISACA şi ICS2, aşa cum s-a reţinut în Nota de constatare;

- administrarea, configurarea şi exploatarea produselor din categoria celor solicitate prin caietele de sarcini aferente loturilor 2 şi 3, impuneau ca instructorul să deţină nu numai cunoştinţe specifice operării produselor respective, ci şi cunoştinţe generale şi specifice domeniului securităţii informatice pentru a putea pregăti cursanţii asupra modului de exploatare a soluţiilor ofertate în utilizare.

Cerinţele nu pot fi considerate excesive sau limitative şi respectă prevederile art. 177 alin. (2) din O.U.G. nr. 34/2006, cu modificările şi completările ulterioare, astfel cum rezultă şi din Raportul procedurii (nr. x/03.11.2014), toţi cei 3 ofertanţi îndeplinind cerinţele de calificare menţionate în documentaţia de atribuire, iar ofertele acestora fiind admisibile.

De altfel, chiar prin actele administrative contestate în prezenta cauză s-a concluzionat în sensul că UM 0929 Bucureşti nu a încălcat principiul proporţionalităţii:

Astfel, la pct. 1 lit. b) paragraful 5 (pag. 2) din Nota de constatare a neregulilor şi de stabilire a corecţiilor financiare nr. x din 25.07.2016 că "având în vedere că sistemul achiziţionat de beneficiar are ca obiect apărarea infrastructurii cibernetice guvernamentale împotriva atacurilor cibernetice, coroborat cu faptul că au existat 3 ofertanţi care au respectat caietul de sarcini, nu au existat contestaţii, în consecinţă respectând principiul proporţionalităţii".

Nota de constatare nu subliniază nici gravitatea neregulii constatate, nici amploarea şi implicaţiile financiare ale neregulii, iar Curtea de Apel Bucureşti era ţinută să analizeze în ce măsură argumentele conţinute în Nota de constatare a neregulilor şi de stabilire a corecţiilor financiare nr. x/25.07.2016, respectiv în Decizia nr. 76099 din 15.11.2016, răspund acestei condiţii de valabilitate a notei de constatare.

În plus, conform Deciziei de verificare nr. 887/152842/04.08.2014, reprezentanţii Unităţii pentru Coordonarea şi Verificarea Achiziţiilor Publice din cadrul Ministerului Finanţelor Publice (UCVAP) au participat la etapele procedurii de achiziţie, semnând cu înscrierea "fără observaţii" documentele întocmite de comisia de evaluare, iar raportul procedurii de achiziţie a fost validat "fără observaţii" de către directorul UCVAP.

Legalitatea şi conformitatea procedurii de achiziţie este confirmată aprobarea rambursării cheltuielilor de către Ministerul Fondurilor Europene, cuprinsă în Cererea de rambursare nr. x din 09.03.2015, rambursarea efectuându-se în data de 31.03.2015, pentru toată suma solicitată prin cererea de rambursare.

În acelaşi timp, reprezentanţi ai Compartimentului Control şi Nereguli din cadrul Direcţiei Management Financiar şi Control al Organismului Intermediar pentru Promovarea Societăţii Informaţionale din cadrul Ministerului pentru Societatea Informaţională a efectuat controale planificate, precum şi vizite de monitorizare, care au cuprins în eşantion şi Contractul de finanţare nr. x/02.12.2013.

Totodată, procedurile de achiziţie derulate pentru implementarea proiectului, inclusiv procedura având ca obiect furnizarea de "Echipamente şi sisteme informatice - Soluţii de monitorizare a traficului de reţea, Soluţii de tipul Endpoint Protection şi Solutie Network Forensics", au constituit obiect al misiunii de audit a Autorităţii de Audit din cadrul Curţii de Conturi a României, desfăşurată în perioada 07 - 12.12.2016, nefiind semnalate neconformităţi.

4. Apărările formulate în cauză

Intimatul-pârât Ministerul Investiţiilor şi Proiectelor Europene a depus întâmpinare, solicitând, în principal, constatarea nulităţii recursului şi, în subsidiar, respingerea recursului ca nefondat.

5. Răspunsul la întâmpinare

Recurentul-reclamant a depus răspuns la întâmpinare, solocitând respingerea apărărilor invocate prin întâmpinare.

5. Soluţia instanţei de recurs

Analizând actele şi lucrările dosarului, precum şi sentinţa recurată, în raport de motivele de casare invocate, Înalta Curte constată că recursul declarat de reclamant este nefondat, pentru următoarele considerente:

În privinţa cazului de nelegalitate întemeiat pe dispoziţiile art. 488 alin. (1) pct. 6 din C. proc. civ., Înalta Curte observă că prima instanţă a prezentat motivele de fapt şi de drept pentru care a respins cererea de chemare în judecată şi care sunt argumentele în măsură să susţină această soluţie.

Contrar afirmaţiilor recurentului-reclamant în cuprinsul considerentelor sentinţei recurate, la paginile 12 şi 13, prima instanţă a precizat, în conformitate cu dispoziţiile art. 178 alin. (2) din O.U.G. nr. 34/2006, art. 8 alin. (1) lit. a) şi b), precum şi alin. (2) din H.G. nr. 925/2006, care sunt obligaţiile încălcate de către recurentul-reclamant (în calitate de autoritate contractantă) în procedura de atribuire a contractului de achiziţie publică, respectiv nemotivarea cerinţelor minime de calificare solicitate potenţialilor ofertanţi, restricţionarea participanţilor la procedura de atribuire prin impunerea unor cerinţe minime de calificare restrictive, fără relevanţă în raport cu natura şi complexitatea contractului de achiziţie ce urmează a fi atribuit. Este arătat motivul pentru care se apreciază că s-a încălcat principiul proporţionalităţii prin impunerea cerinţei referitoare la certificările de tip CISSP, SSCP, CRISC etc., având în vedere că nu există autorităţi publice sau organisme de drept public care să ofere certificări în domeniul managementului serviciilor IT, iar aceste calificări nu sunt titluri de calificare oficială, autorităţile emitente utilizând propriile reguli de acreditare a certificărilor.

De aceea, Înalta Curte apreciază că motivarea sentinţei recurate respectă cerinţele prevăzute de art. 425 din C. proc. civ., astfel încât critica recurentului-reclamant referitor la acest aspect este nefondată.

Referitor la invocarea cazului de nelegalitate prevăzut de dispoziţiile art. 488 alin. (1) pct. 8 din C. proc. civ., Înalta Curte observă că în data de 02.12.2013 a fost încheiat Contractul de finanţare nr. x/02.12.2013 între Ministerul pentru Societatea Informaţională, în calitate de Organism Intermediar (OIPSI) în numele şi pentru Autoritatea de Management pentru Programul Operaţional Sectorial "Creşterea Competitivităţii Economice" (AM POSCCE) şi recurentul-reclamant Serviviul Român de Informaţii - Unitatea Militară 0929 Bucureşti, în calitate de Beneficiar, având ca obiect acordarea finanţării nerambursabile pentru proiectul "Sistem naţional de protecţie a infrastructurilor IT&C de interes naţional împotriva ameninţărilor provenite din spaţiul cibernetic " SMIS 48723.

Pentru implementarea proiectului SERVICIUL ROMAN DE INFORMAŢII - UNITATEA MILITARĂ 0929 Bucureşti, în calitate de autoritate contractantă a lansat procedura de atribuire a contractului "Echipamente şi sisteme informatice-Soluţii de monitorizare a traficului de reţea. Soluţii de tipul Endpoint Protecion şi Soluţii Network Forensics: Lot x Monitorizare trafic reţea tip 1 (1 buc), Lot x Monitorizare trafic reţea tip 2 şi tip 2 (13 buc); Lot x - Device Control şi Edpoint Proection Suite tip1 (1buc) şi Device Control şi Edpoint Proection Suite tip 2 (1buc); Lot x - Network forensics (2 buc)", licitaţie deschisă cu faza finală licitaţie electronică, prin publicarea în S.E.A.P a Anunţului de participare numărul 152842/02.08.2014 şi în Jurnalul Oficial al Uniunii Europene (JOUE) a anunţului nr. 2014/S149-267703 din 06.08.2014.

Cu privire la fişa de date - cap. III.2.3. secţiunea a) "Capacitatea tehnică şi/sau profesională" se menţionează ca "Cerinţe minime obligatorii": Pentru lot x reţea tip 3, lot x tip 1, ofertantul va pune la dispoziţia autorităţii contractante cel puţin un instructor specializat care să ofere serviciile de instruire solicitate prin caietul de sarcini, referitoare lai produsul ofertat.

Cu privire la Instructorii specializaţi, se menţionează că aceştia trebuie "să aibă cel puţin 3 ani experienţă de utilizare a produselor ofertate, să deţină licenţă de instructor valabilă la data limită de depunere a ofertei, să deţină cel puţin, două din următoarele certificări recunoscute la nivel mondial în domeniul securităţii cibernetice: ISC2 Certified Information Systems Security Professional (CISSP), ISC2 Systems Security Certified Practitioner (SSCP), EC- Council Certified Security Analyst (ECSA), EC-Council Certified Ethical Hacker (CEH), ECCouncil Certified Chief Information Security Officer (C\CISO), EC-Council Network Security Administrator (E\NSA), EC-Council Certified Security Specialist (E\CSS), CompTIA Security+, SANS GIAC Security Essentials (GSEC), SANS GIAC Certified Enterprise Defender (GCED), ISACA Certified Information Security Manager (CISM), ISACA Certified in Risk and Information Systems Control (CRISC), Offensive Security Certified Professional (OSCP), Offensive Security Certified Expert (OSCE), Certified Information Systems Security Officer (C)ISSO).

Conform dispoziţiilor art. 2 alin. (2) lit. e) din O.U.G. nr. 34/2006, principiul proporţionalităţii este un principiu ce stă la baza atribuirii contractului de achiziţie publică.

Potrivit art. 178 alin. (2) din O.U.G. nr. 34/2006, "autoritatea contractantă nu are dreptul de a solicita îndeplinirea unor cerinţe minime referitoare la situaţia economică şi financiară şi/sau la capacitatea tehnică şi profesională, care ar conduce la restricţionarea participării la procedura de atribuire".

În temeiul art. 179, "autoritatea contractantă are obligaţia de a respecta principiul proporţionalităţii atunci când stabileşte criteriile de calificare şi selecţie, precum şi nivelul cerinţelor minime solicitate, luând în considerare exigenţele specifice impuse de natura şi complexitatea contractului care urmează să fie atribuit".

Pe de altă parte, conform art. 8 din H.G. nr. 925/2006:

"(1) Autoritatea contractantă nu are dreptul de a restricţiona participarea la procedura de atribuire a contractului de achiziţie publică prin introducerea unor cerinţe minime de calificare, care:

a) nu prezintă relevanţă în raport cu natura şi complexitatea contractului de achiziţie publică ce urmează să fie atribuit;

b) sunt disproporţionate în raport cu natura şi complexitatea contractului de achiziţie publică ce urmează să fie atribuit.

(2) Atunci când impune cerinţe minime de calificare referitoare la situaţia economică şi financiară ori la capacitatea tehnică şi/sau profesională, astfel cum este prevăzut la art. 178 alin. (1) din ordonanţa de urgenţă, autoritatea contractantă trebuie să fie în măsură să motiveze aceste cerinţe, elaborând în acest sens o notă justificativă care se ataşează la dosarul achiziţiei."

În mod legal, prima instanţă a apreciat că cerinţa ca instructorii specializaţi să deţină cel puţin două din următoarele certificări recunoscute la nivel mondial în domeniul securităţii cibernetice: ISC2 Certified Information Systems Security Professional (CISSP), ISC2 Systems Security Certified Practitioner (SSCP), EC- Council Certified Security Analyst (ECSA), EC-Council Certified Ethical Hacker (CEH), ECCouncil Certified Chief Information Security Officer (C\CISO), EC-Council Network Security Administrator (E\NSA), EC-Council Certified Security Specialist (E\CSS), CompTIA Security+, SANS GIAC Security Essentials (GSEC), SANS GIAC Certified Enterprise Defender (GCED), ISACA Certified Information Security Manager (CISM), ISACA Certified in Risk and Information Systems Control (CRISC), Offensive Security Certified Professional (OSCP), Offensive Security Certified Expert (OSCE), Certified Information Systems Security Officer (C)ISSO) este o cerinţă disproporţionată în raport cu natura şi complexitatea contractului de achiziţie publică.

Este adevărat că proiectul este complex ca urmare a necesităţii de asigurare a securităţii cibernetice naţionale prin securizarea reţelelor informatice din categoria ICIN (Infrastructură Cibernetică de Interes National) şi prin implementarea unui sistem de management centralizat a incidentelor de securitate la nivel naţional, cu aplicarea tehnicilor de securizare prin prevenţie, detecţie, investigaţie şi corecţie în cadrul tuturor ICIN. Pe de altă parte, în domeniul securităţii cibernetice nu există forme de pregătire acreditate în învăţământul gimnazial sau universitar.

În acord cu prima instanţă, Înalta Curte apreciază că cerinţa impusă are relevanţă în raport cu natura şi complexitatea contractului de achiziţie publică din speţă, dar este disproporţionată în raport cu acestea. Disproporţia se datorează, pe de o parte, faptului că aceste calificări nu sunt titluri oficiale de calificare (mai ales datorită faptului că nu există autorităţi publice sau organisme de drept public care să ofere certificări în domeniul managementului serviciilor IT), iar, pe de altă parte, faptului că persoanele juridice private emitente aplică propriile reguli de obţinere a calificărilor, şi nu reguli uniforme, general admise.

În aceste condiţii, conform art. 8 din H.G. nr. 925/2006, ca urmare a disproporţionalităţii cerinţei impuse în raport cu natura şi complexitatea contractului de achiziţie publică, cerinţa are caracter restrictiv, fiind aptă să restricţioneze participarea la procedura de atribuire a contractului de achiziţie publică.

De asemenea, este nefondată critica recurentului-reclamant cu privire la necesitatea existenţei unui prejudiciu produs bugetului Uniunii Europene, prejudiciu care nu s-a probat în cauză.

În legea română, neregula este definită de dispoziţiile art. 2 alin. (1) lit. a) din O.U.G. nr. 66/2011, drept "orice abatere de la legalitate, regularitate şi conformitate în raport cu dispoziţiile naţionale şi/sau europene, precum şi cu prevederile contractelor ori a altor angajamente legal încheiate în baza acestor dispoziţii, ce rezultă dintr-o acţiune sau inacţiune a beneficiarului ori a autorităţii cu competenţe în gestionarea fondurilor europene, care a prejudiciat sau care poate prejudicia bugetul Uniunii Europene/bugetele donatorilor publici internaţionali şi/sau fondurile publice naţionale aferente acestora printr-o sumă plătită necuvenit".

În dreptul comunitar, conform prevederilor art. 2 pct. 7 din Regulamentul CE nr. 1083/2006, neregula este "orice încălcare a unei dispoziţii a dreptului comunitar care rezultă dintr-un act sau dintr-o omisiune a unui operator economic, care are sau ar putea avea ca efect un prejudiciu la adresa bugetului general al U.E., prin imputarea unei cheltuieli necorespunzătoare bugetului general".

În plus, în jurisprudenţa sa CJUE a stabilit că inclusiv abaterile care nu au un impact financiar precis pot afecta interesele financiare ale Uniunii (C-465/10, pct. 47, şi C-199/03, pct. 31), statul fiind în măsură să solicite beneficiarului în cauză rambursarea finanţării (C-465/10, pct. 32), regula generală fiind că orice abatere trebuie să conducă la retragerea avantajului obţinut prin comiterea unei nereguli (C-199/03, pct. 15).

În consecinţă, contrar susţinerii recurentului-reclamant, indiferent de gravitatea neregulii săvârşite sau de implicaţiile sale financiare, există obligaţia statelor membre de a aplica corecţii financiare.

Nu este fondată nici critica recurentului-reclamant referitoare la înlăturarea răspunderii sale ca urmare a verificărilor anterioare făcute de autorităţile publice competente (cum ar fi ANRMAP, UCVAP), deoarece, în temeiul dispoziţiilor art. 324 din H.G. nr. 457/2008 prevede că,,(1) În cazul în care autoritatea de management consideră că au existat încălcări ale legislaţiei comunitare sau naţionale privind achiziţiile publice, aceasta stabileşte şi aplică corecţii financiare, în condiţiile Ordonanţei de urgenţă a Guvernului nr. 66/2011 privind prevenirea, constatarea şi sancţionarea neregulilor apărute în obţinerea şi utilizarea fondurilor europene şi/sau a fondurilor publice naţionale aferente acestora.

(2) În exercitarea atribuţiei prevăzute la alin. (1), autoritatea de management nu este condiţionată în luarea deciziilor de activităţile desfăşurate de ANRMAP şi UCVAP potrivit dispoziţiilor art. 322 şi 323."

Din aceste dispoziţii legale rezultă neîndoielnic competenţa autorităţii de management de a stabili şi aplica corecţii financiare, în condiţiile Ordonanţei de urgenţă a Guvernului nr. 66/2011, fără a fi condiţionată în luarea deciziilor de activităţile desfăşurate de ANRMAP şi UCVAP.

6. Temeiul legal al soluţiei adoptate în recurs

În temeiul dispoziţiilor art. 488 alin. (1) pct. 6 şi 8, precum şi art. 496 alin. (1) din C. proc. civ., a art. 20 alin. (1) din Legea contenciosului administrativ nr. 554/2004, cu modificările şi completările ulterioare, Înalta Curte va respinge recursul ca nefondat.

PENTRU ACESTE MOTIVE

ÎN NUMELE LEGII

D E C I D E

Respinge recursul declarat de recurentul-reclamant Serviciul Român de Informaţii - Unitatea Militară 0929 Bucureşti prin Oficiul Juridic Unitatea Militară 0198 Bucureşti împotriva sentinţei nr. 322 din 19 noiembrie 2021, pronunţate de Curtea de Apel Bucureşti, secţia a VIII-a contencios administrativ şi fiscal, ca nefondat.

Definitivă.

Pronunţată astăzi, 28 iunie 2023, prin punerea soluţiei la dispoziţia părţilor prin mijlocirea grefei instanţei.