Sopimusmuutos: Hilda-asianhallintajärjestelmän tietoturvatason nostaminen

Oikeusrekisterikeskus on tunnistanut tarpeen nostaa oikeusministeriön hallinnonalalla käytössä olevan Hilda-asianhallintajärjestelmän tietoturvatasoa. Muutoksen tarve pohjautuu kolmannen osapuolen suorittamaan tietoturva-auditointiin ja oikeusministeriön hallinnonalan muuttuneeseen tarpeeseen kehittää turvaluokitellun tiedon käsittelyä asianhallintajärjestelmässä. Tietoturvatason nosto tarpeen vaatimalle tasolle edellyttää siirtymistä turvatiloissa työskentelyyn, ja tämä muutos vaikuttaa suoraan asennus-, alusta-, tietokanta-, ja testaustiimin toimintaan. Tietoturvatason nostoa ei ole osattu ennakoida voimassa olevalla hankintasopimuksella ja muutoksella on suoria kustannusvaikutuksia, jonka johdosta hankintasopimusta on muutettava vastaamaan muuttunutta palvelutarvetta

Hankintasopimuksen muuttaminen olennaisesti sopimuskaudella on kiellettyä. Olennaiset sopimusmuutokset edellyttävät yhden tai useamman julkisista hankinnoista ja käyttöoikeussopimuksista annetun lain (1397/2016, jäljempänä hankintalaki) 136 §:n 2 momentin mukaisen perusteen täyttymistä. Säännöksen 2 kohdan mukaan muutos on sallittu, jos alkuperäisen sopimuskumppanin on tarpeen suorittaa lisätöitä tai -palveluja taikka ylimääräisiä tavarantoimituksia, jotka eivät sisältyneet alkuperäiseen sopimukseen, ja jos sopimuskumppanin vaihtaminen ei ole mahdollista taloudellisista tai teknisistä syistä ja aiheuttaisi merkittävää haittaa tai kustannusten merkittävää päällekkäisyyttä hankintayksikölle. Lisäksi säännöksen 3 kohdan mukaan muutos on sallittu, mikäli muutoksen tarve johtuu olosuhteista, joita huolellinen hankintayksikkö ei ole voinut ennakoida eikä muutos vaikuta hankintasopimuksen yleiseen luonteeseen. Lisäedellytyksenä on hankintalain 136 § 3 momentin mukaan, että 2 ja 3 kohdassa tarkoitetun muutoksen arvo ei saa olla enemmän kuin 50 prosenttia alkuperäisen sopimuksen arvosta. Jos tällaisia muutoksia tehdään peräkkäin useampia, arvioidaan jokaista muutosta itsenäisenä. Hankintavaiheessa turvatilojen käyttöönottoa ei pidetty välttämättömänä, mutta sopimuskauden aikana on ilmennyt tarve tietoturvatason nostamiselle ja turvatilojen käyttöönotolle. Tietoturvatason nostamista ja turvatilojen käyttöönottoa puoltavat hankintayksikön toteuttama Katakri 2020 itsearviointi ja kolmannen riippumattoman osapuolen toteuttama tietoturva-auditointi. Tietoturvatason nostamisen suunnittelussa on kartoitettu vaihtoehtoisia ratkaisuja ja palvelutarpeen täyttämisen kannalta siirtyminen turvatilojen käyttämiseen on nähty välttämättömäksi. Muutos ei vaikuta hankintasopimuksen yleiseen luonteeseen eikä palvelujen toteutukseen muilta osin. Hilda-asianhallintajärjestelmän tietoturvatason nostaminen on toteutettava Fujitsu Finland Oy:n toimesta, sillä järjestelmä perustuu Fujitsu Finland Oy:n valmisohjelmistoon eivätkä muut markkinoilla olevat toimittajat pysty siksi tarjoamaan sen ylläpitoa tai kehitystä. Sopimuskumppanin vaihtaminen ei ole siten taloudellisista tai teknisistä syistä mahdollista. Mikäli asianhallintajärjestelmä vaihdettaisiin toisen palveluntarjoajan järjestelmään, aiheutuisi vaihdoksesta kohtuuttomat kustannukset hankintayksikölle. Tietoturvatason nostamisen kannalta kustannustehokkain ratkaisu on kehittää nykyistä asianhallintajärjestelmää vastaamaan hallinnonalan palvelutarvetta tilaamalla tietoturvatason nosto ja turvatilat Fujitsu Finland Oy:ltä.

Oikeusrekisterikeskus on tunnistanut tarpeen nostaa oikeusministeriön hallinnonalalla käytössä olevan Hilda-asianhallintajärjestelmän tietoturvatasoa. Muutoksen tarve pohjautuu kolmannen osapuolen suorittamaan tietoturva-auditointiin ja oikeusministeriön hallinnonalan muuttuneeseen tarpeeseen kehittää turvaluokitellun tiedon käsittelyä asianhallintajärjestelmässä. Tietoturvatason nosto tarpeen vaatimalle tasolle edellyttää siirtymistä turvatiloissa työskentelyyn, ja tämä muutos vaikuttaa suoraan asennus-, alusta-, tietokanta-, ja testaustiimin toimintaan. Tietoturvatason nostoa ei ole osattu ennakoida voimassa olevalla hankintasopimuksella ja muutoksella on suoria kustannusvaikutuksia, jonka johdosta hankintasopimusta on muutettava vastaamaan muuttunutta palvelutarvetta