Tilbudsbetingelser og kravspecifikationer for Analyse af den digitale sikkerhed i dansk erhvervsliv 1
1. ORIENTERING 1.1 Udbuddet Erhvervsstyrelsen udbyder hermed opgaven Analyse af den digitale sikkerhed i dansk erhvervsliv. Der henvises i øvrigt til kravspecifikationen med tilhørende bilag for oplysninger om de konkrete ydelser. 1.2 Opdragsgiver Erhvervsstyrelsen CVR-nr.: 10150817 Langelinie Allé 17 DK-2100 København Ø Tlf. 35 29 10 00 1.3 Udbudsmaterialet Tilbud skal afgives på grundlag af følgende: 1. Nærværende tilbudsbetingelser 2. Kravspecifikation i afsnit 6 3. Tro og love erklæring 4. Kontraktskabelon 2. TILBUDSGIVNING 2.1 Tilbudsfasen Det vil frem til 24. april 2014 være muligt at stille skriftlige spørgsmål til opgaven. På Erhvervsstyrelsens hjemmeside, www.erhvervsstyrelsen.dk/udbud/0/16 vil eventuelle spørgsmål og svar vedrørende udbuddet gøres tilgængelige i anonymiseret form den 25. april 2014 efter kl. 12. Alle kendte tilbudsgivere vil få tilsendt spørgsmål/svar pr. e-mail den 25. april 2014. Spørgsmål skal stiles til: Erhvervsstyrelsen Att.: Anna Bay Damholt E-mail: anbada@erst.dk 2.2 Aflevering af tilbud Frist for modtagelse af tilbud er fredag den 2. maj 2014 kl. 14. Tilbud skal afgives på dansk og skal være underskrevet af tilbudsgiver. 2
Tilbud inklusiv eventuelle bilag skal fremsendes elektronisk pr. mail til anbada@erst.dk. Tilbuddet skal foreligge i et filformat fra en anerkendt officepakke eller i pdf. Alle filer skal kunne printes uden yderligere redigering fra ordregivers side. Såfremt ovennævnte ikke overholdes, betragtes tilbuddet ikke som konditionsmæssigt afleveret. 2.3 Tidsterminer Ved Erhvervsstyrelsens valg af leverandør vil alle tilbudsgivere blive skriftligt underrettet herom. Erhvervsstyrelsen forventer, at dette vil ske i uge 20. Erhvervsstyrelsen forbeholder sig ret til at annullere opgaven, hvis saglige grunde taler herfor, fx hvis der ikke indkommer kvalificerede tilbud, eller hvis der ikke kan opnås enighed mellem tilbudsgiver og udbyder om kontraktens form og indhold. 2.4 Vederlag Tilbudsgivers udgifter i forbindelse med udarbejdelse af tilbud er Erhvervsstyrelsen uvedkommende. Erhvervsstyrelsen forbeholder sig ret til at beholde det indkomne materiale. De i tilbudsmaterialet indeholdte informationer er Erhvervsstyrelsens ejendom. 2.5 Alternative tilbud Der kan ikke afleveres alternative tilbud. 3. KRAV TIL TILBUDDETS FORM OG OMFANG 3.1 Generelt Tilbuddet skal indeholde og disponeres efter følgende hovedafsnit: 1. Tilbudsgivers kontaktoplysninger, jf. pkt. 3.2 2. Underskrevet tro og love erklæring, jf. pkt. 3.3 3. Forståelse af opgaven, jf. pkt. 3.4 4. Beskrivelse af opgaven, jf. pkt. 3.5-3.7 [vurderes konkret, jf. nedenfor] 4.1 Tidsplan 4.2 Aktiviteter og leverancer 4.3 Organisering og kompetencer i bemandingen 5. Pris, jf. pkt. 3.8 [vurderes konkret, jf. nedenfor] 3.2 Kontaktoplysninger Tilbudsmaterialet skal være tydeligt forsynet med tilbudsgivers navn samt hovedansvarlig kontaktperson. 3.3 Tro og love erklæring 3
Tilbudsgiver skal vedlægge underskrevet Tro og love erklæring. 3.4 Forståelse af opgaven Tilbuddet skal indeholde en kortfattet beskrivelse maksimalt 5 A4 sider af tilbudsgivers overordnede forståelse af opgaven, og hvordan den tænkes løst. 3.5 Tidsplan Tilbud skal indeholde en præcis angivelse af omfanget (antal timer) af de ydelser, der tilbydes leveret, samt en tidsplan med konkrete milepæle, hvor (del)afrapporteringer også inddrages. 3.6 Aktiviteter og leverancer Tilbud skal indeholde konkrete og fyldestgørende forslag til aktiviteter, der gennemføres for at nå de overordnede målsætninger for opgaven, samt en beskrivelse af hvilken resultater disse aktiviteter forventes at have. 3.7 Organisering og kompetencer i bemandingen Tilbud skal indeholde organisationsdiagram for opgaven. Endvidere skal kvalifikationer og kompetencer for projektteamet beskrives og dokumenteres. I den forbindelse skal der vedlægges: CV er for alle i projektteamet Angivelse af nøglepersoner og ansvarsfordeling i projektteamet Referencer for lignende opgaver for hver deltager i projektteamet. Såfremt tilbuddet indeholder brug af underleverandører eller samarbejdspartnere, skal der vedlægges dokumentation herfor, samt skriftlige hensigtserklæringer eller interesseretilkendegivelser. Opgaven skal løses i perioden medio maj til medio august 2014. Leverandører skal kunne sandsynliggøre, at de eller i samarbejde med en partner kan levere tilstrækkeligt med timer i maj/juni, hvor den primære dataindsamling finder sted. 3.8 Pris Opgaven skal angives til fast pris, og alle priser skal angives eksklusiv moms. Tilbud skal indeholde et overskueligt budget. Opgaven skal løses for under 300.000 kr. eksklusiv moms. 4. TILDELINGSKRITERIER 4.1 Bedømmelsen Forud for bedømmelsen vil det blive konstateret, om tilbuddene er konditionsmæssige. Opgaven tildeles den tilbudsgiver, der afgiver det for Erhvervsstyrelsen økonomisk mest fordelagtige bud. Indkomne konditionsmæssige tilbud vurderes ud fra fire underkriterier: 4
1 Forståelse af opgaven og emnefelt Ved vurdering af dette kriterium lægges der vægt på, at tilbudsgiver har forståelse for emnefeltet samt demonstrerer et overblik over opgavens kompleksitet og formålet med at afdække særlige barrierer og følgeomkostninger for dansk erhvervsliv. Det forventes, at tilbudsgiver har viden og forståelse for de barrierer og følgeomkostninger, en virksomhed traditionelt står overfor i forbindelse med brud på den digitale sikkerhed. 2 Aktiviteter og leverancer Ved vurdering af dette kriterium vil Erhvervsstyrelsen lægge vægt på de foreslåede aktiviteters relevans og kvalitet i forhold til at realisere projektets overordnede målsætninger. I den forbindelse lægges der vægt på, hvordan tilbudsgivers forslag til valgte aktiviteter og leverancer understøtter udforskning af dette felt. 3 Organisering og kompetencer i bemandingen Ved vurdering af dette kriterium lægges der vægt på, at organiseringen af opgaveløsningen modsvarer opgavens kompleksitet og omfang. Herunder vægtes, at relevante kompetencer og kvalifikationer er til stede. Endvidere lægges der vægt på, at tidsplan og milepælsplan er realistisk. Der lægges vægt på evnen til og erfaringer med at arbejde med virksomheders digitale sikkerhed. 4 Pris Ved vurderingen af dette kriterium lægges der vægt på laveste pris. 4.2 Vægtning Kriterierne vil blive vægtet som angivet nedenfor. Kriterium Vægtning i % - total 100 % 1 Forståelse af opgave og emnefelt 30 % 2 Aktiviteter og leverancer 30 % 3 Organisering og kompetencer 30 % 4 Pris 10 % 5. AFTALEINDGÅELSE Forinden aftaleindgåelse indkaldes udvalgte tilbudsgivere til en uddybende samtale. Samtaler afholdes forventeligt fredag den 9. maj 2014. Aftale indgås på grundlag af vedlagte kontraktskabelon, jf. pkt. 1.3. Aftalen forventes at blive indgået senest uge 19 2014. 6. KRAVSPECIFIAKTION 6.1 Baggrund for analysen 5
Øget digitalisering og anvendelse af internettet betyder, at virksomhederne i stigende grad dels er itmæssigt forbundet med andre systemer, dels håndterer stadigt større mængder af data, herunder følsomme persondata. Samtidig oplever fortsat flere virksomhederne hackerangreb og andre itsikkerhedsbrud, som kan føre til tab af forretningskritisk information. Det har økonomiske konsekvenser på virksomheds- og på samfundsniveau og for erhvervslivets konkurrenceevne. Digital sikkerhed omhandler virksomhedernes tiltag til at beskytte information og services mod utilsigtet eller uautoriseret adgang, ændring eller destruktion. En række internationale analyser har belyst de samfundsøkonomiske potentialer og risici ved ikke at virksomhederne ikke har fokus på it-sikkerheden. Der er imidlertid behov for mere viden om erhvervslivets digitale sikkerhed i en dansk kontekst hvilke it-sikkerhedstrusler står virksomhederne overfor, hvordan håndteres den digitale sikkerhed, barrierer for og et bud på følgeomkostninger relateret til den digitale sikkerhed. 6.2 Formål med analysen Erhvervsstyrelsen ønsker på den baggrund, at der gennemføres en analyse af barrierer for og følgeomkostningerne af digital sikkerhed i dansk erhvervsliv. Hovedformålet med analysen er at skabe solid viden om de barrierer danske virksomheder, herunder særligt SMV er, møder i forbindelse med den digitale sikkerhed. Så vidt muligt ønskes også et bud på de omkostninger den enkelte virksomhed står overfor som følge af brud på it- sikkerheden og ikke mindst betydningen for virksomhedernes konkurrenceevne. Derudover ønskes en afdækning af, hvorledes virksomhedernes it-sikkerhed kan understøttes. Erhvervsstyrelsen ønsker et tilbud på, hvordan denne opgave, som beskrives uddybende i det følgende, kan løses. Når der skal indsamles viden omkring digital sikkerhed er det generelt en udfordring at få virksomhederne til at dele information om brud på sikkerheden, da den ofte vil have karakter af at være forretningskritisk og følsom information. Derfor kan der være behov anonymitet som forudsætning for virksomhedernes deltagelse i analysen. For at belyse trusselsbilledet og de sikkerhedsproblematikker dansk erhvervsliv, herunder især SMV ernes, står overfor, er der behov for en dyb forståelse af barrierernes karakteristika og følgeomkostningerne. Dette kan belyses via en kombination af kvalitative og kvantitative undersøgelser. og vil skulle fokusere på: Beskrivelse af hvordan virksomheden håndterer it-sikkerhed organisatorisk, investeringsmæssigt, kompetencemæssigt mv. Følgeomkostninger ved it-sikkerhedsproblemer Barrierer for at håndtere digital sikkerhed (ledelsens opmærksomhed, kompetencer, ressourcer), vidensniveau om trusler og angrebsmetoder, som andre virksomheder har været udsat for) omfanget af virksomhedernes brug af eksterne vidensressourcer som it-sikkerhedsrådgivere, Cert er, politiet eller andre myndigheder dvs. en afdækning af deres itsikkerhedsrelaterede kontaktflade. 6
6.3 Analysedesign Analysen bør primært bygge på en dybdegående analyse af barriererne for og følgeomkostninger af digital sikkerhed i en række virksomheder. Derudover ønskes en afdækning af, hvorledes virksomehedernes it-sikkerhed kan understøttes. Analysen bør inkludere en række interviews med centrale sikkerhedsaktører, som fx rådgivere, leverandører af løsninger, forskere m.fl. på sikkerheds-området, der kan kvalificere og supplere den viden, som opnås gennem virksomhedscasestudierne. Der kan eventuelt overvejes om der er behov for en indledende workshop eller brug af et ekspertpanel eller lignende. Der kan desuden inddraget relevante initiativer i andre lande i forhold til, hvordan det offentlige kan understøtte SMV ers itsikkerhedssituation. Det kan samtidig overvejes at den kvalitative analyse kan suppleres af en kvantitativ analyse, der afdækker en række nøglespørgsmål på en bredere gruppe af virksomheder. En sådan kan fx afdække: Hvor mange virksomheder har været ramt af it-kriminalitet, hvilken IT- type kriminalitet har der været tale om, og hvad har angrebene i direkte samt indirekte omkostninger kostet virksomhederne at håndtere? Og hvilke type omkostninger. Barrierer og processer for håndtering af evt. angreb? Kriterier for virksomhedsbeskrivelser Der kan laves virksomhedsbeskrivelser med det formål at give et billede af dansk erhvervslivs digitale sikkerhedsudfordring, samt barrierer for og følgeomkostninger relateret til den digitale sikkerhed. Følgende parametre kan indgå når barrierer, samarbejdsrelationer, og følgeomkostninger beskrives for erhvervslivet og særligt SMV-segmentet. Teknologianvendelse og digital sårbarhed Globalt markedspotentiale, og betydningen af digitale sikkerhed for at håndtere salg af produkter eller tjenester og styrke virksomhedens internationale konkurrenceevne. Brug af (privatfølsomme) data og privacy Erhvervsstyrelsen kan til brug for dette formål evt. stille data til rådighed fra VITA (virksomhedernes brug af IT), hvori der er stillet nogle sikkerhedsrelaterede spørgsmål. Disse kan kombineres med data fra FIDA (den generelle virksomhedsstatistik), der kan aggregeres på brancheniveau. Metodevalg Der ønskes gennemført en analyse, som kan anvendes til at identificere barrierer for og følgeomkostninger af digital sikkerhed for dansk erhvervsliv, herunder særligt SMV er. Tilbudsgiver bedes give bud på, hvordan virksomhescases konkret skal analyseres, herunder interviewpersoner (CEO, CTO, it-sikkerhedsansvarlige medarbejdere mv.), kvantitativ understøttelse af casene mv. Derudover ønskes et forslag til en række sikkerheds-eksperter, der kan kvalificere virksomhedsobservationerne. Endelig kan det nævnes, hvor der kan hentes interessante internationale erfaringer. nævne forslag til at håndtere anonymitet og hemmelighedskræmmeri. 7
6.4 Analysens output og leverancer Der ønskes et bud på en bruttoliste over potentielle virksomhedscases til videre analyse, herunder hvilke kriterier, der foreslås lagt til grund for udvælgelsen, forslag til analysemetode (herunder spørgeramme) for casene samt hvilke tværgående parametre der vil blive sammenlignet. Derudover ønskes et forslag til centrale sikkerheds-aktører, der kan kvalificere virksomhedsobservationerne. Der ønskes en rapport indeholdende: 1) Sammenfatning af hele rapporten 2) Samlet tværgående analyse a. Baseret på casestudier, udsagn fra sikkerhedseksperter og kvantitative analyse afdækkes om der fx er betydelige ligheder/forskelle på erhvervslivets sikkerhedsrelaterede barrierer og følgeomkostninger på tværs af virksomhedsstørrelse, brancher/sektorer, teknologianvendelse mv. Den skal give et solidt billede af de politiske rammebetingelser der kan fremme den digitale sikkerhed i erhvervslivet, særlig for SMV erne, 3) En beskrivelse af det digitale sikkerheds-økosystem herunder den rolle private sikkerhedsaktører spiller for virksomhederne særligt SMV er. 4) Cases beskrives i detaljer a. bud på de omkostninger og barrierer (kompetencer, juridiske forhold, ledelsens betydning) konsekvenser for konkurrenceevnen som virksomheden har og/eller forventer at opnå ved at sikre, at den digitale sikkerhed er i orden (fx målt på (tabt) omsætning, indtjening, eksport, markedsandele, omdømme eller lignende) b. beskrivelser af virksomhedernes processer for håndtering af sikkerhedsproblemstillinger c. Samarbejde med eksterne aktører eksempelvis it-sikkerhedsleverandører og offentlige myndigheder. 5) En kvantitativ analyse der på tværs af erhvervslivet samler op på omfanget og på de oplevede økonomiske konsekvenser af it-kriminalitet/mangelfuld sikkerhed. 6) En perspektivering indeholdende bud på de væsentligste rammebetingelser samt eksempler på andre landes politiske initiativer, der på relevant vis adresserer tilsvarende barrierer. Det forventes, at der anvendes tabeller og figurer, der visuelt illustrerer og dokumenterer forskelle og ligheder, der identificeres i undersøgelsen. Det leverede produkt skal være egnet til offentliggørelse. Det er Erhvervsstyrelsen, der alene afgør om rapporten eller dele heraf kan offentliggøres. 6.5 Opgaven Minimumskrav til opgaven: Analysen skal gennemføres fra maj 2014 til onsdag d. 20. august 2014. Tilbudsgiver skal udarbejde et selvstændigt forslag til projektdesign, aktiviteter, tidsplan m.v. Almindelige krav: A) Leverancer skal være veldokumenterede og egnet til offentliggørelse 8
Analysens leverancer som beskrevet i afsnit 6.3, skal være resultatet af velbegrundede metodevalg, fx vil der være krav om dokumentation for hvorfor case- og interviewvirksomheder, er udvalgt til analysen samt hvorfor det valgte antal menes at kunne tilvejebringe et solidt videngrundlag. Leverancerne skal være egnet til offentliggørelse. B) Involvering af projektgruppen Erhvervsstyrelsen skal involveres i arbejdet for løbende at afstemme forventningerne til det endelige produkt. Der skal fastlægges en proces for denne involvering. Det er vigtigt for Erhvervsstyrelsen, at der genereres konkret viden om barrierer for og følgeomkostninger i forbindelse med digital sikkerhed i erhvervslivet samt betydningen af denne for konkurrenceevnen. 6.6 Ressourcer Det forventes, at tilbudsgiver som minimum bemander opgaven med to gennemgående konsulenter, hvoraf én er projektleder under hele processen. En projektgruppe i Erhvervsstyrelsen vil stå for den løbende dialog og alt samarbejde med konsulenten. Analysen og øvrigt relevant materiale fra den forskningsbaserede analysemodel vil blive stillet til rådighed ved igangsættelse af opgaven. 9