Markedsundersøkelser – Cybersecurity products

Omfanget av dette prosjektet inkluderer 190 statlig virksomheter, 16 fylkeskommuner og 357 kommuner i sivil sektor, som varierer fra små kommuner til mellomstore og store virksomheter med et estimat på rundt 800.000 ansatte. MPS er en sentral innkjøpsenhet i henhold til EU-direktiv 2014/24 om offentlig anskaffelser, artikkel 37.

MPS har til hensikt å etablere rammeavtaler/kontrakt på nasjonalt nivå som vil dekke et bredt spekter av verktøy og tjenester innen informasjonssikkerhet og personvern. Hensikten er å bidra til bedre sikkerhet i norsk offentlig forvaltning ved tilgang til - og målrettet bruk av - avanserte, teknologiske løsninger som kan støtte offentlige virksomheters behov i arbeidet for bedre cybersikkerhet, samt styring av personvern i virksomheten og i leverandørkjeden.

Denne runden med markedsundersøkelse fokuserer hovedsakelig på produkter og tjenester innen cybersikkerhet og personvern, levert som en Software-as-a-Service (SaaS) tjeneste. En senere runde med markedsundersøkelse for mer omfattende tjenester (incident response, penetration testing, compromise assessment, managed detection and response, and potentially others) vil bli publisert på et senere tidspunkt. Denne typen tjenester vil dermed ikke være en del av denne markedsundersøkelsen.

I samsvar med de årlige risikovurderingene og trusselvurderingene fra relevante norske myndigheter (Nasjonal sikkerhetsmyndighet, Politiets sikkerhetstjeneste og Etterretningstjenesten) består våre cybertrusler av nasjonalstater (f.eks. avanserte vedvarende trusler), organisert kriminalitet (f.eks. svindel og cyberkriminalitetsgrupper og hacktivisme), samt opportunistiske aktører (f.eks. innsidere og svindlere).

Vi oppfordrer derfor både ledende og nisjeaktører, samt leverandører av omfattende løsninger til å delta i denne markedsundersøkelsen.

Vi er åpne for alle typer SaaS-løsninger, både åpen kildekode eller lukket kildekode, og vi ser primært etter produkter/tjenester/verktøy. Tilbudte tjenester bør ha fleksibilitet i distribusjon (dvs. skybasert, hybrid eller lokal distribusjon). Videre bør de tilbudte tjenestene støtte implementeringen av følgende forskrifter og standarder:

• GDPR: Demonstrere evner til å støtte vår GDPR-etterlevelsesinnsats, inkludert dataminimering og sikre databehandlingspraksiser under hendelseshåndtering.
• NIS2: Oppfylle kravene i Network and Information Systems Directive 2 for essensielle og viktige enheter, sikre sikkerheten til nettverks- og informasjonssystemer, inkludert krav til hendelsesrapportering.
• Andre standarder: Oppfylle bransjespesifikke sikkerhetsstandarder som ISO 27001, NIST CSF, C5 og DORA, samt nasjonale standarder som NSM grunnprinsipper og NORMEN, og andre som kan gjelde.

Markedsundersøkelsen inneholder bevisst få fritekstfelt og er strukturert som følger:

• Informasjon om ditt selskap
• Tjenesteomfang
• Informasjonssikkerhet og databeskyttelse (GDPR)
• Kommersielle forhold
• Anskaffelse

Vi vil på løpende basis kontakte og arrangere oppfølgingsmøter med leverandører vi anser som interessante før en eventuell igangsetting av en anskaffelsesprosedyre.

I denne tidlige fasen av RFI har vi lite informasjon om volumer, eiendeler, omfang, antall brukere, antall enheter osv., og henviser derfor til offentlig sektor som det generelle omfanget.

Vi vurderer å tildele flere kontrakter/avtaler for hver kunngjøring (eller flere delkontrakter), og dette er et av de områdene vi søker å avklare gjennom denne prosessen.

Informasjonen som deles gjennom markedsundersøkelsen vil bli behandlet i samsvar med gjeldende norsk lovgivning om både konfidensialitet og GDPR. Markedsundersøkelsen og eventuelle påfølgende kunngjøringer følger norsk lov om offentlige anskaffelser (som er i samsvar med EU-direktivet om offentlige anskaffelser).

Kunngjøringer av anskaffelsene for de tjenester/verktøy vi velger å gå videre med er planlagt i september/oktober 2024 og vil bli publisert på EU Kommisjonens Tenders Electronic Daily (TED) og Doffin.

Vennligst merk at vi bruker begrepet "bør" i omfangsbeskrivelsene. Hvis vi gir inntrykk av at noen deler av omfangsbeskrivelsene er "skal"-krav, vennligst tolk dette som en "bør" eller "kan"-uttalelse, da dette er en markedsundersøkelse.

Vi har også tatt rimelige skritt for å unngå termer og beskrivelser som kan knyttes til spesifikke leverandører/produkter/verktøy, og vi understreker at enhver oppfattet sammenheng mellom brukte termer i markedsundersøkelsen og en leverandør eller produkt, verktøy eller tjeneste vil ikke påvirke våre vurderinger etter denne markedsundersøkelsen.

Vi søker ikke informasjon om tjenester (managed services) som tilbys separat i tillegg til produkter/tjenester innen informasjonssikkerhet og personvern i denne markedsundersøkelsen.

Markedsdialogen starter umiddelbart, og deltakelse vil bli akseptert fortløpende. Ingen kunngjøringer vil finne sted før etter fristen for denne markedsundersøkelsen.

Vennligst merk at vi har publisert flere markedsundersøkelser da flere leverandører tilbyr tjenester/verktøy som pakker eller moduler. Hvis ditt selskap tilbyr flere tjenester/verktøy, vennligst se listen nedenfor og fyll ut de markedsundersøkelser som er relevant for din virksomhet.

• Vulnerability Scanning
• Endpoint Detection and Response (EDR)
• Security Information and Event Management (SIEM)
• Distributed Denial of Service (DDoS) Protection
• Information Security Governance, Risk, and Compliance (GRC)
• Web Application Firewall (WAF)
• Cybersecurity and Data Protection Training and Awareness
• Third Party Privacy Compliance Management
• Threat Intelligence Platform