Zmiany w przepisach dotyczących podstaw odrzucenia oferty w postępowaniu zamówieniowym

Od 3 kwietnia obowiązują znowelizowane przepisy dotyczące podstaw odrzucenia ofert w postępowaniu o zamówienie publiczne. Zmiany wprowadziła ustawa z 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. z 2026 r. poz. 252).

Przede wszystkim nadano nowe brzmienie przepisowi art. 226 ust. 1 pkt 17 ustawy – Prawo zamówień publicznych. Zgodnie z tym przepisem zamawiający odrzuca ofertę, jeżeli obejmuje ona produkt ICT, usługę ICT lub proces ICT wskazane w rekomendacji, o której mowa w art. 33 ust. 4 ustawy z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, stwierdzającej ich negatywny wpływ na podstawowy interes bezpieczeństwa państwa. Zmiana polega zatem na zastąpieniu wcześniejszych sformułowań: „urządzenia informatyczne” i „oprogramowanie”, pojęciami „produkt ICT”, „usługa ICT” oraz „proces ICT”. Pojęcia te są zdefiniowane w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2019/881 z dnia 17 kwietnia 2019 r. w sprawie ENISA (Agencji Unii Europejskiej ds. Cyberbezpieczeństwa) oraz certyfikacji cyberbezpieczeństwa w zakresie technologii informacyjno-komunikacyjnych oraz uchylenia rozporządzenia (UE) nr 526/2013 (akt o cyberbezpieczeństwie).

Stwierdzenie w rekomendacji Pełnomocnika Rządu do Spraw Cyberbezpieczeństwa, że dany produkt ICT, usługa ICT lub proces ICT negatywnie wpływa na podstawowy interes bezpieczeństwa państwa – jest podstawą odrzucenia przez zamawiającego oferty, która obejmuje taki produkt ICT, usługę ICT lub proces ICT.

Ponadto nowelizacja dodała nową podstawę obligatoryjnego odrzucenia oferty. W art. 226 ust. 1 pkt 19 Prawa zamówień publicznych postanowiono, że zamawiający odrzuca ofertę, jeżeli obejmuje ona produkt ICT, którego typ został określony w decyzji w sprawie uznania dostawcy za dostawcę wysokiego ryzyka lub usługę ICT, lub proces ICT, określone w tej decyzji (chodzi o decyzję z art. 67b ust. 15 ustawy z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa).

Obowiązek odrzucenia oferty na podstawie art. 226 ust. 1 pkt 19 Pzp jest konsekwencją wprowadzonego w art. 67c ust. 4 ustawy o cyberbezpieczeństwie zakazu nabywania przez podmioty zobowiązane tą ustawą (wymienione w art. 67b ust. 1 – w tym podmioty kluczowe i podmioty ważne w rozumieniu ustawy o cyberbezpieczeństwie, objęte wykazem, o którym mowa w art. 7 ust. 1 tej ustawy) typów produktów ICT, rodzajów usług ICT lub konkretnych procesów ICT w zakresie określonym ww. decyzją w sprawie uznania za dostawcę wysokiego ryzyka (art. 67b ust. 15 ustawy o cyberbezpieczeństwie).