1. Beschaffer
1.1.
Beschaffer
Offizielle Bezeichnung: HUS-yhtymä
Rechtsform des Erwerbers: Regionale Gebietskörperschaft
Tätigkeit des öffentlichen Auftraggebers: Gesundheit
2. Verfahren
2.1.
Verfahren
Titel: Tietoturvatestauspalvelut
Beschreibung: HUS-yhtymä (jäljempänä myös tilaaja tai hankintayksikkö) pyytää tarjouksia tietoturvatestauspalveluista tämän tarjouspyynnön ja sen liitteiden ehtojen mukaisesti. Tietoturvatestauksessa käytetään pääsääntöisesti määrämuotoista tietoturvamallia. Testaus noudattaa tarvittavia ja yleisesti hyväksyttyjä viitekehyksiä ja standardeja kuten CC (Common Criteria for Information Technology Security Evaluation), OWASP (Open Web Application Security Project) mukaan lukien OWASP ASVS ja OWASP LLM, WASC (Web Application Security Consortium), NIST sekä soveltuvin osin ISO IEC 27001 ja ISO IEC 27002 sekä EAL (Evaluation Assurance Level) -määrityksiä. Testaus voi sisältää tietoturvan vaatimustason määrittelyn, tietoturva-arkkitehtuurin ja keskitettyjen kontrollien läpikäynnin prosessi- ja tietojärjestelmätasolla. Testauksen perusteella laaditaan selkeät ja priorisoidut muutosehdotukset löydettyjen tietoturvapuutteiden korjaamiseksi. Tietoturvatestaus kohdistuu tietojärjestelmien lisäksi rajapintoihin, integraatioihin, pilviympäristöihin (IaaS, PaaS, SaaS), identiteetin ja pääsynhallintaratkaisuihin (IAM), mobiilisovelluksiin sekä tarvittaessa lääkintälaitteisiin liittyviin tietojärjestelmäkokonaisuuksiin. Tietoturvatestauksen sisältö voi olla esimerkiksi: - käyttöönottotarkastuksia, tietoturva-arviointeja ja kvanttivalmiuden arviointeja - toistuvia haavoittuvuusskannauksia ja haavoittuvuudenhallintaa - penetraatiotestausta (ml. web-, mobiili-, infra- ja API-testaukset sekä tarvittaessa red team -harjoitukset) - palvelunestohyökkäysten simulointia sovitussa laajuudessa - konfiguraatioiden ja tietoturva-asetusten tarkastuksia (baseline compliance) - ohjelmistokomponenttien ja riippuvuuksien tietoturvan arviointia (supply chain) - testauksen suunnittelu, toteutus, hallinta ja ylläpitotehtäviä Tekoäly- ja LLM-ratkaisujen osalta testaus kattaa erityisesti: - syötteiden ja promptien manipulointiin liittyvät riskit (prompt injection) - tietovuotoriskit ja mallien kautta tapahtuvan tiedon paljastumisen - mallien väärinkäytön ja ohittamisen riskit - käyttöoikeuksien, rajapintojen ja integraatioiden turvallisuuden - tekoälyjärjestelmien liitynnät muihin tietojärjestelmiin Testaus toteutetaan tilaajan kanssa sovittujen menettelytapojen mukaisesti. Näihin sisältyvät muun muassa testauksen rajaukset, aikataulutus, hyväksytyt testausmenetelmät, tuotantoympäristöön kohdistuvien testien erityisjärjestelyt, häiriötilanteiden hallinta sekä tietoturvallinen tietojen käsittely testauksen aikana. Lisäksi sovitaan palvelun tuottamiseen osallistuvista asiantuntijoista. Toimittaja vastaa dokumentaatiosta, joka sisältää vähintään: - testaussuunnitelman - testauksen aikaiset väliraportit - testitulokset ja havaintokohtaiset kuvaukset - loppuraportin johtopäätöksin. Raportoinnin tulee sisältää havaintojen selkeä riskiluokittelu (kriittinen, korkea, keskitaso, matala), vaikutusten arviointi sekä konkreettiset korjaussuositukset. Raporttiin tulee sisältyä myös yhteenveto sekä tekninen yksityiskohtainen kuvaus havainnoista ja testausmenetelmistä. Hankinnan kohteena oleva palvelu voi sisältää myös tietoturvatestauksen jatkuvien toimintamallien kehittämistä ja käyttöönottoa sekä testauksen integroimista osaksi ohjelmistokehityksen elinkaarta (DevSecOps). Toimittajan edellytetään sitoutuvan tilaajan tietoturva- ja tietosuojavaatimuksiin sekä huomioivan sosiaali- ja terveydenhuollon toimintaympäristön erityispiirteet, mukaan lukien potilastietojen käsittelyyn liittyvät vaatimukset.
Kennung des Verfahrens: 5cc0f0cd-5b49-4473-8ae3-ec6aa6e4b4f4
Interne Kennung: HUS 045-2026
Verfahrensart: Offenes Verfahren
Das Verfahren wird beschleunigt: nein
Zentrale Elemente des Verfahrens: Hankintayksikkö valitsee tässä hankintamenettelyssä puitejärjestelyyn kolme (3) toimittajaa, jollei soveltuvuusvaatimukset täyttäviä tarjoajia tai hyväksyttäviä tarjouksia ole vähemmän. Puitejärjestelyyn valitut toimittajat asetetaan tarjousvertailun perusteella etusijajärjestykseen. Puitejärjestelyyn perustuvat hankinnat tehdään etusijajärjestyksen mukaisesti ilman kilpailuttamista tarjouspyynnön liitteessä 1 kuvatun mukaisesti.
2.1.1.
Zweck
Art des Auftrags: Dienstleistungen
Haupteinstufung (cpv): 72800000 Computerrevision und -prüfung
Zusätzliche Einstufung (cpv): 72000000 IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung, 72220000 Systemberatung und technische Beratung, 72222100 Strategische Prüfung von Informationssystemen oder -technologie
2.1.2.
Erfüllungsort
Land, Gliederung (NUTS): Helsinki-Uusimaa (FI1B1)
Land: Finnland
Zusätzliche Informationen: Tilaaja voi edellyttää sopimuksen kohteena olevan palvelun tuottamista tilaajan tiloissa.
2.1.3.
Wert
Geschätzter Wert ohne MwSt.: 800 000,00 EUR
Höchstwert der Rahmenvereinbarung: 800 000,00 EUR
2.1.4.
Allgemeine Informationen
Rechtsgrundlage:
Richtlinie 2014/24/EU
2.1.6.
Ausschlussgründe
Quellen der Ausschlussgründe: Einheitliche Europäische Eigenerklärung (EEE), Auftragsunterlagen
5. Los
5.1.
Los: LOT-0000
Titel: Tietoturvatestauspalvelut
Beschreibung: HUS-yhtymä (jäljempänä myös tilaaja tai hankintayksikkö) pyytää tarjouksia tietoturvatestauspalveluista tämän tarjouspyynnön ja sen liitteiden ehtojen mukaisesti. Tietoturvatestauksessa käytetään pääsääntöisesti määrämuotoista tietoturvamallia. Testaus noudattaa tarvittavia ja yleisesti hyväksyttyjä viitekehyksiä ja standardeja kuten CC (Common Criteria for Information Technology Security Evaluation), OWASP (Open Web Application Security Project) mukaan lukien OWASP ASVS ja OWASP LLM, WASC (Web Application Security Consortium), NIST sekä soveltuvin osin ISO IEC 27001 ja ISO IEC 27002 sekä EAL (Evaluation Assurance Level) -määrityksiä. Testaus voi sisältää tietoturvan vaatimustason määrittelyn, tietoturva-arkkitehtuurin ja keskitettyjen kontrollien läpikäynnin prosessi- ja tietojärjestelmätasolla. Testauksen perusteella laaditaan selkeät ja priorisoidut muutosehdotukset löydettyjen tietoturvapuutteiden korjaamiseksi. Tietoturvatestaus kohdistuu tietojärjestelmien lisäksi rajapintoihin, integraatioihin, pilviympäristöihin (IaaS, PaaS, SaaS), identiteetin ja pääsynhallintaratkaisuihin (IAM), mobiilisovelluksiin sekä tarvittaessa lääkintälaitteisiin liittyviin tietojärjestelmäkokonaisuuksiin. Tietoturvatestauksen sisältö voi olla esimerkiksi: - käyttöönottotarkastuksia, tietoturva-arviointeja ja kvanttivalmiuden arviointeja - toistuvia haavoittuvuusskannauksia ja haavoittuvuudenhallintaa - penetraatiotestausta (ml. web-, mobiili-, infra- ja API-testaukset sekä tarvittaessa red team -harjoitukset) - palvelunestohyökkäysten simulointia sovitussa laajuudessa - konfiguraatioiden ja tietoturva-asetusten tarkastuksia (baseline compliance) - ohjelmistokomponenttien ja riippuvuuksien tietoturvan arviointia (supply chain) - testauksen suunnittelu, toteutus, hallinta ja ylläpitotehtäviä Tekoäly- ja LLM-ratkaisujen osalta testaus kattaa erityisesti: - syötteiden ja promptien manipulointiin liittyvät riskit (prompt injection) - tietovuotoriskit ja mallien kautta tapahtuvan tiedon paljastumisen - mallien väärinkäytön ja ohittamisen riskit - käyttöoikeuksien, rajapintojen ja integraatioiden turvallisuuden - tekoälyjärjestelmien liitynnät muihin tietojärjestelmiin Testaus toteutetaan tilaajan kanssa sovittujen menettelytapojen mukaisesti. Näihin sisältyvät muun muassa testauksen rajaukset, aikataulutus, hyväksytyt testausmenetelmät, tuotantoympäristöön kohdistuvien testien erityisjärjestelyt, häiriötilanteiden hallinta sekä tietoturvallinen tietojen käsittely testauksen aikana. Lisäksi sovitaan palvelun tuottamiseen osallistuvista asiantuntijoista. Toimittaja vastaa dokumentaatiosta, joka sisältää vähintään: - testaussuunnitelman - testauksen aikaiset väliraportit - testitulokset ja havaintokohtaiset kuvaukset - loppuraportin johtopäätöksin. Raportoinnin tulee sisältää havaintojen selkeä riskiluokittelu (kriittinen, korkea, keskitaso, matala), vaikutusten arviointi sekä konkreettiset korjaussuositukset. Raporttiin tulee sisältyä myös yhteenveto sekä tekninen yksityiskohtainen kuvaus havainnoista ja testausmenetelmistä. Hankinnan kohteena oleva palvelu voi sisältää myös tietoturvatestauksen jatkuvien toimintamallien kehittämistä ja käyttöönottoa sekä testauksen integroimista osaksi ohjelmistokehityksen elinkaarta (DevSecOps). Toimittajan edellytetään sitoutuvan tilaajan tietoturva- ja tietosuojavaatimuksiin sekä huomioivan sosiaali- ja terveydenhuollon toimintaympäristön erityispiirteet, mukaan lukien potilastietojen käsittelyyn liittyvät vaatimukset.
Interne Kennung: HUS 045-2026
5.1.1.
Zweck
Art des Auftrags: Dienstleistungen
Haupteinstufung (cpv): 72800000 Computerrevision und -prüfung
Zusätzliche Einstufung (cpv): 72000000 IT-Dienste: Beratung, Software-Entwicklung, Internet und Hilfestellung, 72220000 Systemberatung und technische Beratung, 72222100 Strategische Prüfung von Informationssystemen oder -technologie
5.1.2.
Erfüllungsort
Land, Gliederung (NUTS): Helsinki-Uusimaa (FI1B1)
Land: Finnland
Zusätzliche Informationen: Tilaaja voi edellyttää sopimuksen kohteena olevan palvelun tuottamista tilaajan tiloissa.
5.1.3.
Geschätzte Dauer
Laufzeit: 48 Monate
5.1.5.
Wert
Geschätzter Wert ohne MwSt.: 800 000,00 EUR
Höchstwert der Rahmenvereinbarung: 800 000,00 EUR
5.1.6.
Allgemeine Informationen
Vorbehaltene Teilnahme:
Teilnahme ist nicht vorbehalten.
Die Namen und beruflichen Qualifikationen des zur Auftragsausführung eingesetzten Personals sind anzugeben: Erforderlich für das Angebot
Auftragsvergabeprojekt nicht aus EU-Mitteln finanziert
Die Beschaffung fällt unter das Übereinkommen über das öffentliche Beschaffungswesen: ja
Diese Auftragsvergabe ist auch für kleine und mittlere Unternehmen (KMU) geeignet: ja
5.1.7.
Strategische Auftragsvergabe
Gefördertes soziales Ziel: Faire Arbeitsbedingungen
5.1.9.
Eignungskriterien
Quellen der Auswahlkriterien: Einheitliche Europäische Eigenerklärung (EEE), Auftragsunterlagen
5.1.10.
Zuschlagskriterien
Kriterium:
Art: Preis
Bezeichnung: Hinta
Beschreibung: Asiantuntijatyön hinta
Kategorie des Gewicht-Zuschlagskriteriums: Gewichtung (Prozentanteil, genau)
Zuschlagskriterium — Zahl: 60
Kriterium:
Art: Qualität
Bezeichnung: Laatu
Beschreibung: Asiantuntijoiden kokemus ja osaaminen
Kategorie des Gewicht-Zuschlagskriteriums: Gewichtung (Prozentanteil, genau)
Zuschlagskriterium — Zahl: 40
5.1.11.
Auftragsunterlagen
Frist für die Anforderung zusätzlicher Informationen: 05/08/2026 09:00:00 (UTC+00:00) Westeuropäische Zeit, GMT
5.1.12.
Bedingungen für die Auftragsvergabe
Verfahrensbedingungen:
Sicherheitsüberprüfung ist erforderlich
Beschreibung: Turvallisuusselvitystä voidaan vaatia.
Bedingungen für die Einreichung:
Elektronische Einreichung: Erforderlich
Sprachen, in denen Angebote oder Teilnahmeanträge eingereicht werden können: Finnisch
Elektronischer Katalog: Nicht zulässig
Varianten: Nicht zulässig
Die Bieter können mehrere Angebote einreichen: Nicht zulässig
Frist für den Eingang der Angebote: 19/08/2026 09:00:00 (UTC+00:00) Westeuropäische Zeit, GMT
Dauer, während der das Angebot gültig bleiben muss: 4 Monate
Informationen über die öffentliche Angebotsöffnung:
Eröffnungstermin: 19/08/2026 09:15:00 (UTC+00:00) Westeuropäische Zeit, GMT
Auftragsbedingungen:
Die Auftragsausführung muss im Rahmen von Programmen für geschützte Beschäftigungsverhältnisse erfolgen: Nein
Es ist eine Geheimhaltungsvereinbarung erforderlich: ja
Zusätzliche Angaben zur Geheimhaltungsvereinbarung: Salassapitosopimusta (NDA) voidaan vaatia.
Elektronische Rechnungsstellung: Erforderlich
Aufträge werden elektronisch erteilt: ja
Zahlungen werden elektronisch geleistet: ja
5.1.15.
Techniken
Rahmenvereinbarung:
Rahmenvereinbarung ohne erneuten Aufruf zum Wettbewerb
Höchstzahl der Teilnehmer: 3
Informationen über das dynamische Beschaffungssystem:
Kein dynamisches Beschaffungssystem
5.1.16.
Weitere Informationen, Schlichtung und Nachprüfung
Überprüfungsstelle: Markkinaoikeus
Informationen über die Überprüfungsfristen: Muutoksenhakumenettelyjen määräaikoihin sovelletaan julkisista hankinnoista ja käyttöoikeussopimuksista annettua lakia (1397/2016).
Organisation, die weitere Informationen für die Nachprüfungsverfahren bereitstellt: HUS-yhtymä
8. Organisationen
8.1.
ORG-0001
Offizielle Bezeichnung: Markkinaoikeus
Registrierungsnummer: 3006157-6
Postanschrift: Radanrakentajantie 5
Stadt: Helsinki
Postleitzahl: 00520
Land, Gliederung (NUTS): Helsinki-Uusimaa (FI1B1)
Land: Finnland
Telefon: +358 295643300
Rollen dieser Organisation:
Überprüfungsstelle
8.1.
ORG-0002
Offizielle Bezeichnung: HUS-yhtymä
Registrierungsnummer: 1567535-0
Postanschrift: PL 445 (Uutistie 5, 01770 Vantaa)
Stadt: HUS
Postleitzahl: 00029
Land, Gliederung (NUTS): Helsinki-Uusimaa (FI1B1)
Land: Finnland
Kontaktperson: ICT-hankintakategoria
Telefon: +358 947111
Rollen dieser Organisation:
Beschaffer
Organisation, die weitere Informationen für die Nachprüfungsverfahren bereitstellt
8.1.
ORG-0003
Offizielle Bezeichnung: Hansel Oy (Hilma)
Registrierungsnummer: FI09880841
Postanschrift: Mannerheiminaukio 1a
Stadt: Helsinki
Postleitzahl: 00100
Land, Gliederung (NUTS): Helsinki-Uusimaa (FI1B1)
Land: Finnland
Kontaktperson: eSender
Telefon: 029 55 636 30
Rollen dieser Organisation:
TED eSender
Kennung/Fassung der Bekanntmachung: 13a3a3b7-7d3d-49c1-93e4-70158c578c2b - 01
Formulartyp: Wettbewerb
Art der Bekanntmachung: Auftrags- oder Konzessionsbekanntmachung – Standardregelung
Unterart der Bekanntmachung: 16
Datum der Übermittlung der Bekanntmachung: 08/07/2026 14:59:43 (UTC+00:00) Westeuropäische Zeit, GMT
Bekanntmachung — eSender-Übermittlungsdatum: 08/07/2026 14:59:44 (UTC+00:00) Westeuropäische Zeit, GMT
Sprachen, in denen diese Bekanntmachung offiziell verfügbar ist: Finnisch
Veröffentlichungsnummer der Bekanntmachung: 476317-2026
ABl. S – Nummer der Ausgabe: 131/2026
Datum der Veröffentlichung: 10/07/2026