Markedsplassen for skytjenester («MPS») har inngått to parallelle rammeavtaler for skybaserte opplærings- og bevisstgjøringstjenester innen informasjonssikkerhet og personvern med Junglemap AS og Secure Practice AS.
Denne veiledningen gir en samlet beskrivelse av hva avtalene innebærer, og hvordan virksomhetene kan ta dem i bruk på en korrekt og effektiv måte. Veiledningen skal bidra til en enhetlig forståelse av innhold og bruk av avtalene. Den peker på anbefalte verktøy og tilnærminger, samt mulige gevinster, men den enkelte virksomhet må selv vurdere hvordan disse kan realiseres ut fra egne mål, retningslinjer og forutsetninger.
1.1 Avtalens leverandører
MPS har inngått parallelle rammeavtaler med følgende leverandører (i alfabetisk rekkefølge):
Junglemap AS Link til leverandørens nettside: https://www.junglemap.com/no/dfo
Secure Practice AS Link til leverandørens nettside: https://securepractice.co/kampanje/offentlig
1.2 Avtalens kunder
Rammeavtalene er ikke-eksklusive, og bruk av avtalene er frivillig. Virksomheter som er oppført i rammeavtalens Appendix 6 Kunder, kan foreta avrop på rammeavtalene. Rammeavtalen åpner for at virksomheter fortsatt skal kunne benytte rammeavtalen selv om det skjer en omstrukturering på oppdragsgiversiden, eksempelvis kommunesammenslåing, opprettelse av nytt direktorat, utskillelse fra det offentlige i et eget selskap mv. Dersom dette blir aktuelt, bør det likevel gjøres en vurdering av den nye virksomhetens adgang til å foreta avrop på rammeavtalene.
2 Om rammeavtalen
2.1 Rammeavtalens omfang
Rammeavtalen omfatter leveranse av skybaserte tjenester for grunnleggende opplæring og bevisstgjøring innen informasjonssikkerhet og personvern. Gjennom avtalen får virksomhetene tilgang til moderne, skalerbare og dokumenterbare løsninger som styrker sikkerhetskulturen, øker kompetansen og reduserer risiko for menneskelige feil.
Tjenestene dekker et bredt spekter av lærings- og bevisstgjøringsløsninger, inkludert e-læring, interaktive simuleringer, phishing-tester, rollebasert opplæring, kontinuerlig læring og kulturbygging. Løsningene skal gi virksomhetene rapportering, måling og innsikt som støtter både operativt og strategisk arbeid med informasjonssikkerhet og personvern.
Begge leverandørene under rammeavtalen leverer tjenester som oppfyller alle kravene i avtalen og tilbyr ferdig etablerte, kvalitetssikrede løsninger. Tjenestene er universelt utformet, flerspråklige, GDPR-kompatible og kan integreres med virksomhetenes IT- og HR-systemer. Løsningene støtter sikker autentisering (SSO/MFA), datakryptering, personvern og brukervennlighet på tvers av enheter.
Nærmere beskrivelse av leverandørens tjenester:
Kostnadsfri prøveperiode
Begge leverandørene tilbyr en kostnadsfri prøveperiode som en del av Avropskontrakten.
Prøveperioden starter ved avtalens oppstart etter gjennomført minikonkurranse og gir virksomheten mulighet til å teste tjenesten i praksis før ordinær kontraktsperiode trer i kraft.
Prøveperioden varer i fire uker for Junglemap AS og 30 dager for Secure Practice AS, og kan avsluttes uten kostnad dersom virksomheten ikke ønsker å gå videre etter endt periode.
Dersom kontrakten ikke sies opp i løpet av prøveperioden, fortsetter leveransen automatisk som ordinær avtale i henhold til vilkårene i avropskontrakten.
2.2 Rammeavtalens kontraktsdokumenter
Kontraktsdokumentene gjøres tilgjengelig ved forespørsel. Dokumentene er ikke offentlig tilgjengelig da de inneholder taushetsbelagt informasjon som forretningshemmeligheter. Det er ikke nødvendig å besitte/lese dokumentene for å kunne gjennomføre et avrop. Ønskes det likevel innsikt i kontraktsdokumentene er disse tilgjengelige for virksomheter som er omfattet av rammeavtalen (jf. pkt. 1.2 Avtalens kunder).
Ta kontakt med rammeavtaleforvalter for å få kontraktsdokumentene tilsendt. Det understrekes at oppdragsgivere som mottar kontraktsdokumentene må behandle kontraktsdokumentene konfidensielt, og de kan ikke gjøres offentlig tilgjengelig for andre og kun deles med andre som har tjenstlig behov.
2.3 Varighet
Rammeavtalen er gyldig fra 15.10.2025 til 14.10.2027, med mulighet for å forlenge med ytterligere ett (1) år + ett (1) år, totalt maksimalt fire (4) år.
3 Roller og ansvar
3.1 Markedsplassen for skytjenester
MPS eier og forvalter rammeavtalen med ansvar for oppfølging av rammeavtalen. MPS gir veiledning om hvordan rammeavtalen skal brukes, og følger opp at leverandøren etterlever rammeavtalen. MPS bistår også den enkelte virksomhet ved behov, eksempelvis ved eskalering av saker til MPS.
3.2 Virksomhetene
Virksomhetene er ansvarlige for å gjennomføre avrop i tråd med rammeavtalen og anskaffelsesregelverket. Se punkt 5 "Ta i bruk avtalen" for mer informasjon.
Den enkelte oppdragsgiver er ansvarlig for avropsavtalen. Dette inkluderer riktig bruk av tjenesten, samt oppfølging av avropsavtalen overfor leverandør.
Ved å avrope på denne rammeavtalen, gis leverandørene adgang til å formidle relevant informasjon til MPS som er nødvendig for å etterleve sine rapporteringsforpliktelser. Eksempler på slik informasjon er angitt i punkt 3.3 Leverandørene.
3.3 Leverandørene
Leverandørene er ansvarlig for å etterleve avtalen, herunder levere sine tjenester, teknisk support, opplæring, veiledning m.m. iht avtalen.
Leverandørene er forpliktet til å rapportere til MPS i tråd med rapporteringsforpliktelsene i rammeavtalen om blant annet bruk av avtalen. Dette inkluderer informasjon om avrop, herunder antall, verdi, varighet, tjenester som kjøpes, samt andre relevante styrings- og måleparametere i forbindelse med rammeavtalen.
4 Gevinster med rammeavtalen
Betydelig reduserte kostnader
Avtalen gir offentlige virksomheter tilgang til opplærings- og bevisstgjøringstjenester med forhandlede makspriser. Dette sikrer betydelige kostnadsbesparelser sammenlignet med enkeltanskaffelser og gir bedre ressursutnyttelse i hele sektoren.
Balanserte og forutsigbare vilkår
Rammeavtalen er utformet med tydelige og rettferdige kontraktsvilkår som ivaretar offentlige virksomheters behov. Dette gir trygghet i leverandørforholdet, reduserer administrativ risiko og sikrer enhetlig håndtering av personvern og informasjonssikkerhet.
Effektive og enkle avropsprosesser
Bestilling av tjenester under rammeavtalen skjer gjennom etablerte og effektive prosesser som gir rask tilgang til ønsket innhold. Se avsnitt 5.1 Avrop for mer informasjon.
Styrket informasjonssikkerhet og personvern
Avtalen bygger på MPS’ referansearkitektur (basert på internasjonale og nasjonale lover, standarder og rammeverk), som sikrer at leverandørene følger anerkjente prinsipper for informasjonssikkerhet. Dette gir økt trygghet for virksomhetens data og systemer.
Fleksible og skalerbare løsninger
Tjenestene kan tilpasses virksomhetens størrelse, modenhet og behov. Både små og store virksomheter kan enkelt ta i bruk modulbaserte løsninger som kombinerer e-læring, simulering, interaktive øvelser og verktøy for måling av effekt.
Dokumentert læring og kontinuerlig forbedring
Begge leverandørene tilbyr løsninger med måling, rapportering og innsikt i læringsprogresjon og sikkerhetskultur. Dette gir ledelsen et godt grunnlag for å følge opp tiltak, dokumentere effekt og styrke virksomhetens internkontroll.
Trygg og lovmessig drift
Tjenestene leveres fra sikre europeiske skytjenester i samsvar med krav til informasjonssikkerhet, universell utforming og norsk personvernlovgivning.
5 Ta i bruk avtalen
5.1 Avrop
Avrop gjennomføres ved minikonkurranse. Dette innebærer en ny (forenklet) konkurranse mellom leverandørene som sikrer forutberegnelighet, likebehandling og gjennomsiktighet. Vinneren tildeles avropskontrakten.
5.2 Gjennomføring av minikonkurranse
5.2.1 Leverandørdialog
Virksomheten kan gjennomføre leverandørdialog i forkant av minikonkurransen dersom det er behov for å avklare spørsmål eller innhente ytterligere informasjon om hva leverandørene kan tilby. Formålet med leverandørdialogen er å oppnå en bedre forståelse av markedet, leverandørenes løsninger og mulige tilnærminger til det aktuelle behovet.
5.2.2 Tilbudsforespørsel
Ved gjennomføring av minikonkurranse anbefaler vi at virksomhetene benytter følgende verktøy for utforming av avrop:
[Link: Avropshjelpen] vil bli publisert fortløpende.
Avropshjelpen gir praktisk støtte til utforming og gjennomføring av avrop, slik at alle viktige elementer blir ivaretatt i tilbudsforespørselen. Verktøyet genererer et word-dokument som lastes ned på din datamaskin, som du enkelt kan redigere videre og sende til leverandørene.
Tilbudsforespørselen skal som minimum inneholde:
- Tittel: [Ref. nr/Minikonkurranse] Opplæring og bevisstgjøring i informasjonssikkerhet og personvern
- Behovsbeskrivelse
- Antall brukere ved etablering
- Tildelingskriterier, inkludert vekting og beskrivelse av evaluering
- Tilbudsfrist
Tilbudsforespørselen bør også inneholde:
- Tidsplan med beskrivelse dersom det planlegges for forhandlinger
- Vedståelsesfrist
Ved gjennomføring av en minikonkurranse vil vi anbefale virksomhetene å sende tilbudsforespørselen via virksomhetens elektroniske konkurransegjennomføringsverktøy (KGV). Her anbefales det at det brukes en mal i KGV-systemet som innebærer at leverandører inviteres til å levere tilbud uten kunngjøringsplikt.
Leverandørene kan finnes i KGV ved å søke på leverandørens navn, organisasjonsnummer eller e-postadresse (jf. punkt 8 Kontaktinformasjon).
Dersom en av leverandørene ikke inviteres, er virksomhetene ansvarlige for å sikre at det er gjort tilstrekkelig vurderinger av hvorvidt leverandøren ikke kan levere tjenesten. Tilstrekkelig dokumentasjon kan være å sende en henvendelse til leverandøren i forkant av minikonkurransen og undersøke deres interesse og/eller mulighet til å levere forespurte tjeneste. Virksomheten må kunne utlevere slik dokumentasjon til leverandørene på forespørsel. Vår anbefaling er at alle leverandørene inviteres med mindre det foreligger dialog med leverandørene i forkant som bekrefter at ikke alle kan levere tjenesten.
5.2.3 Behovsbeskrivelse
Behovsbeskrivelsen skal beskrive hvilke tjenester leverandøren skal tilby under avropet. Den skal gi et tilstrekkelig grunnlag for leverandørene til å forstå virksomhetens behov og utarbeide et relevant og konkurransedyktig tilbud. Denne behovsbeskrivelsen er ikke låst, og vil kunne endre seg gjennom avtaleperioden.
Virksomhetene kan angi absolutte krav til tjenesten som må oppfylles for at tilbudet skal bli vurdert. Slike krav må være klart formulert og nødvendige. Slike absolutte krav kan ikke benyttes for å unødig begrense konkurransen.
Ved eventuelle endringer i behovet skal begge leverandørene informeres om dette for å sikre likebehandling og forutsigbarhet i konkurransen.
5.2.4 Tildelingskriterier
Virksomhetene kan selv velge hvilke tildelingskriterier de vil gjennomføre sin evaluering på, i tillegg til vekten per kriterium. Virksomheten kan, etter eget skjønn, velge ett eller flere av følgende kriterier med den vekting som anses hensiktsmessig.
| Evalueringskrav | Kommentar |
| Kvalitet | Virksomheten kan selv angi hvilke krav som skal inngå i evalueringen av minikonkurransen. Dette kan for eksempel være krav til funksjonalitet, tekniske løsninger, brukervennlighet, innhold, leveranseprosess eller andre forhold som er viktige for virksomhetens konkrete behov. Som støtte er Appendix 1 – Service vedlagt, som viser de tekniske og funksjonelle kravene leverandørene ble vurdert på ved inngåelsen av rammeavtalen. Disse kravene ble vurdert på portefølje- og breddenivå, og dekker ikke nødvendigvis de spesifikke behovene til den enkelte virksomhet. Virksomhetene anbefales å bruke informasjonen i vedlegget kun som bakgrunn for å forstå hva som allerede er vurdert i rammeavtalen, og deretter utforme egne kvalitetskriterier tilpasset sitt konkrete behov. |
| Pris | Virksomheten kan fastsette spesifikke prisbetingelser som skal gjelde for minikonkurransen. Leverandørene har ikke anledning til å tilby høyere priser enn det som er angitt i rammeavtalen. |
| Risiko | Virksomheten kan vurdere kontraktsrisiko knyttet til det konkrete behovet. Leverandørene har ikke anledning til å introdusere nye risikoelementer utover det som fremgår av rammeavtalen, med mindre dette skyldes nye og særskilte krav fra Kundens side. |
| Implementering/Onboarding | Virksomheten kan evaluere tidsrammen og kompleksiteten for implementerings- eller onboarding-prosjektet i sitt konkrete tilfelle. |
| Miljø | Virksomheten kan stille krav og evaluere klima- og miljøaspekter knyttet til tilbudet |
| ... | |
| ... |
Generelt gjelder et prinsipp om at oppdragsgiverne ikke kan begrense konkurransen kunstig ved å stille strengere krav enn det som er nødvendig, herunder krav som unødig begrenser konkurransen eller er tilpasset en spesifikk leverandør.
5.2.5 Tilbudsfrist
Virksomhetene skal sette en tilbudsfrist som gir leverandørene tilstrekkelig tid til å utarbeide tilbud. Lengden på tilbudsfristen vil variere avhengig av omfanget i tilbudet.
5.2.6 Tidsplan og frister
Virksomhetene bør inkludere en tidsplan i minikonkurransen som sier noe om planlagt fremdrift. Dersom virksomhetene planlegger å gjennomføre forhandlinger bør dette fremgå.
Virksomhetene bør angi en rimelig vedståelsesfrist. Lengden på vedståelsesfristen henger sammen med kompleksiteten i tilbudet og hvor omfattende det antas at evaluering vil være. Dersom ikke annet er spesifisert er vedståelsesfristen 30 dager.
5.2.7 Tilbud
Leverandørene er ikke forpliktet til å levere inn tilbud. Dersom virksomheten ikke mottar noen gyldig tilbud, eksempelvis at virksomheten ikke mottar tilbud i det hele tatt eller om mottatte tilbud må avvises kan virksomhetene inngå forhandlinger med én leverandør og inngå avrop direkte.
5.2.8 Evaluering
Virksomheten er selv ansvarlig for å gjennomføre evalueringen av tilbudene i tråd med de fastsatte tildelingskriteriene.
6 Valg av leverandør og avropskontrakt
6.1 Meddelelse om valg av leverandør
Etter valg av leverandør, skal virksomheten informere alle rammeavtaleleverandørene om hvilken leverandør virksomheten skal gjøre avrop med.
Det er ikke krav om karensperiode mellom tildelingsbeslutningen og inngåelsen av avropsavtalen.
Det følger av § 25-1 i forskrift om offentlige anskaffelser at oppdragsgiver har en begrunnelsesplikt. Begrunnelse skal inneholde tilstrekkelig informasjon slik at leverandøren kan vurdere om oppdragsgivers valg har vært saklig og forsvarlig, og i samsvar med angitte krav og aktuelle tildelingskriterier. Begrunnelsen skal angi det valgte tilbudets egenskaper og relative fordeler.
Dokumentasjonen skal bidra til at leverandørene som ikke har fått kontrakt, skal føle seg trygge på at virksomheten har opptrådt korrekt ifølge gjeldende regelverk og prosedyrer. I tillegg vil begrunnelsen fra virksomheten kunne bidra til at leverandørene på sikt får en bedre forståelse av virksomhetenes behov, og på den måten ved senere anledninger kan gi et bedre tilbud. En god og utfyllende begrunnelse er i tillegg klageforebyggende.
6.2 Anskaffelsesprotokoll
Oppdragsgivere er forpliktet til å føre protokoll fra konkurransen, jf. § 25-5 i forskrift om offentlige anskaffelser. Protokollen skal beskrive alle vesentlige forhold og viktige beslutninger gjennom hele anskaffelsesprosessen.
Den enkelte virksomhet skal dokumentere sin vurdering og sitt valg av leverandør ved avrop.
6.3 Avropskontrakt
Virksomheten skal inngå en avropsavtale ved å fylle inn og signere bestillingsskjema basert på mal (Appendix 5.2 Order Form). Ta kontakt direkte med valgt leverandør for å få kontraktsdokumentet tilsendt.
Leverandøren skal akseptere avropsavtalen uten ugrunnet opphold, og signere avtalen med virksomheten innen tre dager.
Den endelige avropskontrakten vil dermed bestå av Appendix 5.2 Order form, med prisskjema som vedlegg.
7 Offentlighet
Tilbudene og anskaffelsesprotokoll er i utgangspunktet ikke unntatt offentlighet etter at valg av leverandør er foretatt, jamfør offentleglova § 23 tredje ledd og forskrift for offentlige anskaffelser § 7-3. Oppdragsgiver er videre pålagt å følge prinsippene om merinnsyn, jf. offentleglova § 11. Tilbudene og øvrige dokumenter kan imidlertid inneholde taushetsbelagte opplysninger som skal unntas offentlighet, jf. offenteglova § 13 første ledd, jf. forvaltningsloven § 13 første ledd nr. 2.
8 Kontaktinformasjon
MPS – kontraktsforvalter: Kristina Nikolajeva
E-post: kristina.nikolajeva@dfo.no
Leverandør – Junglemap AS:
E-post: sw@junglemap.com
Org. nr: 984 590 423
https://www.junglemap.com/no/dfo
Leverandør – Secure Practice AS:
E-post: mps@securepractice.no
Org.nr.: 919 420 197