1. Committente
1.1.
Committente
Nome ufficiale: HUS-yhtymä
Forma giuridica del committente: Autorità regionale
Attività dell'amministrazione aggiudicatrice: Salute
2. Procedura
2.1.
Procedura
Titolo: Tietoturvatestauspalvelut
Descrizione: HUS-yhtymä (jäljempänä myös tilaaja tai hankintayksikkö) pyytää tarjouksia tietoturvatestauspalveluista tämän tarjouspyynnön ja sen liitteiden ehtojen mukaisesti. Tietoturvatestauksessa käytetään pääsääntöisesti määrämuotoista tietoturvamallia. Testaus noudattaa tarvittavia ja yleisesti hyväksyttyjä viitekehyksiä ja standardeja kuten CC (Common Criteria for Information Technology Security Evaluation), OWASP (Open Web Application Security Project) mukaan lukien OWASP ASVS ja OWASP LLM, WASC (Web Application Security Consortium), NIST sekä soveltuvin osin ISO IEC 27001 ja ISO IEC 27002 sekä EAL (Evaluation Assurance Level) -määrityksiä. Testaus voi sisältää tietoturvan vaatimustason määrittelyn, tietoturva-arkkitehtuurin ja keskitettyjen kontrollien läpikäynnin prosessi- ja tietojärjestelmätasolla. Testauksen perusteella laaditaan selkeät ja priorisoidut muutosehdotukset löydettyjen tietoturvapuutteiden korjaamiseksi. Tietoturvatestaus kohdistuu tietojärjestelmien lisäksi rajapintoihin, integraatioihin, pilviympäristöihin (IaaS, PaaS, SaaS), identiteetin ja pääsynhallintaratkaisuihin (IAM), mobiilisovelluksiin sekä tarvittaessa lääkintälaitteisiin liittyviin tietojärjestelmäkokonaisuuksiin. Tietoturvatestauksen sisältö voi olla esimerkiksi: - käyttöönottotarkastuksia, tietoturva-arviointeja ja kvanttivalmiuden arviointeja - toistuvia haavoittuvuusskannauksia ja haavoittuvuudenhallintaa - penetraatiotestausta (ml. web-, mobiili-, infra- ja API-testaukset sekä tarvittaessa red team -harjoitukset) - palvelunestohyökkäysten simulointia sovitussa laajuudessa - konfiguraatioiden ja tietoturva-asetusten tarkastuksia (baseline compliance) - ohjelmistokomponenttien ja riippuvuuksien tietoturvan arviointia (supply chain) - testauksen suunnittelu, toteutus, hallinta ja ylläpitotehtäviä Tekoäly- ja LLM-ratkaisujen osalta testaus kattaa erityisesti: - syötteiden ja promptien manipulointiin liittyvät riskit (prompt injection) - tietovuotoriskit ja mallien kautta tapahtuvan tiedon paljastumisen - mallien väärinkäytön ja ohittamisen riskit - käyttöoikeuksien, rajapintojen ja integraatioiden turvallisuuden - tekoälyjärjestelmien liitynnät muihin tietojärjestelmiin Testaus toteutetaan tilaajan kanssa sovittujen menettelytapojen mukaisesti. Näihin sisältyvät muun muassa testauksen rajaukset, aikataulutus, hyväksytyt testausmenetelmät, tuotantoympäristöön kohdistuvien testien erityisjärjestelyt, häiriötilanteiden hallinta sekä tietoturvallinen tietojen käsittely testauksen aikana. Lisäksi sovitaan palvelun tuottamiseen osallistuvista asiantuntijoista. Toimittaja vastaa dokumentaatiosta, joka sisältää vähintään: - testaussuunnitelman - testauksen aikaiset väliraportit - testitulokset ja havaintokohtaiset kuvaukset - loppuraportin johtopäätöksin. Raportoinnin tulee sisältää havaintojen selkeä riskiluokittelu (kriittinen, korkea, keskitaso, matala), vaikutusten arviointi sekä konkreettiset korjaussuositukset. Raporttiin tulee sisältyä myös yhteenveto sekä tekninen yksityiskohtainen kuvaus havainnoista ja testausmenetelmistä. Hankinnan kohteena oleva palvelu voi sisältää myös tietoturvatestauksen jatkuvien toimintamallien kehittämistä ja käyttöönottoa sekä testauksen integroimista osaksi ohjelmistokehityksen elinkaarta (DevSecOps). Toimittajan edellytetään sitoutuvan tilaajan tietoturva- ja tietosuojavaatimuksiin sekä huomioivan sosiaali- ja terveydenhuollon toimintaympäristön erityispiirteet, mukaan lukien potilastietojen käsittelyyn liittyvät vaatimukset.
Identificativo della procedura: 5cc0f0cd-5b49-4473-8ae3-ec6aa6e4b4f4
Identificativo interno: HUS 045-2026
Tipo di procedura: Aperta
La procedura è accelerata: no
Caratteristiche principali della procedura: Hankintayksikkö valitsee tässä hankintamenettelyssä puitejärjestelyyn kolme (3) toimittajaa, jollei soveltuvuusvaatimukset täyttäviä tarjoajia tai hyväksyttäviä tarjouksia ole vähemmän. Puitejärjestelyyn valitut toimittajat asetetaan tarjousvertailun perusteella etusijajärjestykseen. Puitejärjestelyyn perustuvat hankinnat tehdään etusijajärjestyksen mukaisesti ilman kilpailuttamista tarjouspyynnön liitteessä 1 kuvatun mukaisesti.
2.1.1.
Finalità
Natura dell'appalto: Servizi
Classificazione principale (cpv): 72800000 Servizi di audit e collaudo informatico
Classificazione aggiuntiva (cpv): 72000000 Servizi informatici: consulenza, sviluppo di software, Internet e supporto, 72220000 Servizi di consulenza in sistemi informatici e assistenza tecnica, 72222100 Servizi di revisione strategica di sistemi o tecnologie dell’informazione
2.1.2.
Luogo di esecuzione
Suddivisione del paese (NUTS): Helsinki-Uusimaa (FI1B1)
Paese: Finlandia
Informazioni supplementari: Tilaaja voi edellyttää sopimuksen kohteena olevan palvelun tuottamista tilaajan tiloissa.
2.1.3.
Valore
Valore stimato al netto dell'IVA: 800 000,00 EUR
Valore massimo dell'accordo quadro: 800 000,00 EUR
2.1.4.
Informazioni generali
Base giuridica:
Direttiva 2014/24/UE
2.1.6.
Motivi di esclusione
Fonti dei motivi di esclusione: Documento di gara unico europeo (DGUE), Documento di gara
5. Lotto
5.1.
Lotto: LOT-0000
Titolo: Tietoturvatestauspalvelut
Descrizione: HUS-yhtymä (jäljempänä myös tilaaja tai hankintayksikkö) pyytää tarjouksia tietoturvatestauspalveluista tämän tarjouspyynnön ja sen liitteiden ehtojen mukaisesti. Tietoturvatestauksessa käytetään pääsääntöisesti määrämuotoista tietoturvamallia. Testaus noudattaa tarvittavia ja yleisesti hyväksyttyjä viitekehyksiä ja standardeja kuten CC (Common Criteria for Information Technology Security Evaluation), OWASP (Open Web Application Security Project) mukaan lukien OWASP ASVS ja OWASP LLM, WASC (Web Application Security Consortium), NIST sekä soveltuvin osin ISO IEC 27001 ja ISO IEC 27002 sekä EAL (Evaluation Assurance Level) -määrityksiä. Testaus voi sisältää tietoturvan vaatimustason määrittelyn, tietoturva-arkkitehtuurin ja keskitettyjen kontrollien läpikäynnin prosessi- ja tietojärjestelmätasolla. Testauksen perusteella laaditaan selkeät ja priorisoidut muutosehdotukset löydettyjen tietoturvapuutteiden korjaamiseksi. Tietoturvatestaus kohdistuu tietojärjestelmien lisäksi rajapintoihin, integraatioihin, pilviympäristöihin (IaaS, PaaS, SaaS), identiteetin ja pääsynhallintaratkaisuihin (IAM), mobiilisovelluksiin sekä tarvittaessa lääkintälaitteisiin liittyviin tietojärjestelmäkokonaisuuksiin. Tietoturvatestauksen sisältö voi olla esimerkiksi: - käyttöönottotarkastuksia, tietoturva-arviointeja ja kvanttivalmiuden arviointeja - toistuvia haavoittuvuusskannauksia ja haavoittuvuudenhallintaa - penetraatiotestausta (ml. web-, mobiili-, infra- ja API-testaukset sekä tarvittaessa red team -harjoitukset) - palvelunestohyökkäysten simulointia sovitussa laajuudessa - konfiguraatioiden ja tietoturva-asetusten tarkastuksia (baseline compliance) - ohjelmistokomponenttien ja riippuvuuksien tietoturvan arviointia (supply chain) - testauksen suunnittelu, toteutus, hallinta ja ylläpitotehtäviä Tekoäly- ja LLM-ratkaisujen osalta testaus kattaa erityisesti: - syötteiden ja promptien manipulointiin liittyvät riskit (prompt injection) - tietovuotoriskit ja mallien kautta tapahtuvan tiedon paljastumisen - mallien väärinkäytön ja ohittamisen riskit - käyttöoikeuksien, rajapintojen ja integraatioiden turvallisuuden - tekoälyjärjestelmien liitynnät muihin tietojärjestelmiin Testaus toteutetaan tilaajan kanssa sovittujen menettelytapojen mukaisesti. Näihin sisältyvät muun muassa testauksen rajaukset, aikataulutus, hyväksytyt testausmenetelmät, tuotantoympäristöön kohdistuvien testien erityisjärjestelyt, häiriötilanteiden hallinta sekä tietoturvallinen tietojen käsittely testauksen aikana. Lisäksi sovitaan palvelun tuottamiseen osallistuvista asiantuntijoista. Toimittaja vastaa dokumentaatiosta, joka sisältää vähintään: - testaussuunnitelman - testauksen aikaiset väliraportit - testitulokset ja havaintokohtaiset kuvaukset - loppuraportin johtopäätöksin. Raportoinnin tulee sisältää havaintojen selkeä riskiluokittelu (kriittinen, korkea, keskitaso, matala), vaikutusten arviointi sekä konkreettiset korjaussuositukset. Raporttiin tulee sisältyä myös yhteenveto sekä tekninen yksityiskohtainen kuvaus havainnoista ja testausmenetelmistä. Hankinnan kohteena oleva palvelu voi sisältää myös tietoturvatestauksen jatkuvien toimintamallien kehittämistä ja käyttöönottoa sekä testauksen integroimista osaksi ohjelmistokehityksen elinkaarta (DevSecOps). Toimittajan edellytetään sitoutuvan tilaajan tietoturva- ja tietosuojavaatimuksiin sekä huomioivan sosiaali- ja terveydenhuollon toimintaympäristön erityispiirteet, mukaan lukien potilastietojen käsittelyyn liittyvät vaatimukset.
Identificativo interno: HUS 045-2026
5.1.1.
Finalità
Natura dell'appalto: Servizi
Classificazione principale (cpv): 72800000 Servizi di audit e collaudo informatico
Classificazione aggiuntiva (cpv): 72000000 Servizi informatici: consulenza, sviluppo di software, Internet e supporto, 72220000 Servizi di consulenza in sistemi informatici e assistenza tecnica, 72222100 Servizi di revisione strategica di sistemi o tecnologie dell’informazione
5.1.2.
Luogo di esecuzione
Suddivisione del paese (NUTS): Helsinki-Uusimaa (FI1B1)
Paese: Finlandia
Informazioni supplementari: Tilaaja voi edellyttää sopimuksen kohteena olevan palvelun tuottamista tilaajan tiloissa.
5.1.3.
Durata stimata
Durata: 48 Mesi
5.1.5.
Valore
Valore stimato al netto dell'IVA: 800 000,00 EUR
Valore massimo dell'accordo quadro: 800 000,00 EUR
5.1.6.
Informazioni generali
Partecipazione riservata:
La partecipazione non è riservata.
Vanno indicati nomi e qualifiche professionali del personale incaricato dell'esecuzione dell'appalto: Indicazione obbligatoria nell'offerta
Progetto di appalto non finanziato con fondi UE
L'appalto è soggetto all'accordo sugli appalti pubblici (AAP): sì
L'appalto si addice anche alle piccole e medie imprese (PMI): sì
5.1.7.
Appalto strategico
Obiettivo di carattere sociale perseguito: Condizioni di lavoro eque
5.1.9.
Criteri di selezione
Fonti dei criteri di selezione: Documento di gara unico europeo (DGUE), Documento di gara
5.1.10.
Criteri di aggiudicazione
Criterio:
Tipo: Prezzo
Nome: Hinta
Descrizione: Asiantuntijatyön hinta
Categoria del criterio di aggiudicazione peso: Ponderazione (percentuale, esatta)
Criterio di aggiudicazione: numero: 60
Criterio:
Tipo: Qualità
Nome: Laatu
Descrizione: Asiantuntijoiden kokemus ja osaaminen
Categoria del criterio di aggiudicazione peso: Ponderazione (percentuale, esatta)
Criterio di aggiudicazione: numero: 40
5.1.11.
Documenti di gara
Termine per la richiesta di informazioni supplementari: 05/08/2026 09:00:00 (UTC+00:00) ora dell'Europa occidentale, GMT
5.1.12.
Condizioni di appalto
Condizioni della procedura:
È richiesto il nulla osta di sicurezza
Descrizione: Turvallisuusselvitystä voidaan vaatia.
Modalità di presentazione:
Presentazione elettronica delle offerte: Obbligatoria
Lingue in cui possono essere presentate le offerte o le domande di partecipazione: finlandese
Catalogo elettronico: Non consentita
Varianti: Non consentita
Gli offerenti possono presentare più di un'offerta: Non consentita
Termine per il ricevimento delle offerte: 19/08/2026 09:00:00 (UTC+00:00) ora dell'Europa occidentale, GMT
Durata durante la quale l'offerta deve rimanere valida: 4 Mesi
Informazioni sull'apertura pubblica delle offerte:
Data di apertura: 19/08/2026 09:15:00 (UTC+00:00) ora dell'Europa occidentale, GMT
Condizioni contrattuali:
L'esecuzione dell'appalto deve avvenire nel contesto di programmi di lavoro protetti: No
È richiesto un accordo di non divulgazione: sì
Informazioni supplementari sull'accordo di non divulgazione: Salassapitosopimusta (NDA) voidaan vaatia.
Fatturazione elettronica: Obbligatoria
Si farà ricorso all'ordinazione elettronica: sì
Sarà utilizzato il pagamento elettronico: sì
5.1.15.
Tecniche
Accordo quadro:
Accordo quadro, senza riapertura della gara
Numero massimo di partecipanti: 3
Informazioni sul sistema dinamico di acquisizione:
Nessun sistema dinamico di acquisizione
5.1.16.
Ulteriori informazioni, mediazione e ricorsi
Organizzazione competente per i ricorsi: Markkinaoikeus
Informazioni sui termini per il riesame: Muutoksenhakumenettelyjen määräaikoihin sovelletaan julkisista hankinnoista ja käyttöoikeussopimuksista annettua lakia (1397/2016).
Organizzazione alla quale rivolgersi per informazioni complementari sulle procedure di ricorso: HUS-yhtymä
8. Organizzazioni
8.1.
ORG-0001
Nome ufficiale: Markkinaoikeus
Numero di registrazione: 3006157-6
Indirizzo postale: Radanrakentajantie 5
Località: Helsinki
Codice postale: 00520
Suddivisione del paese (NUTS): Helsinki-Uusimaa (FI1B1)
Paese: Finlandia
Telefono: +358 295643300
Ruoli di questa organizzazione:
Organizzazione competente per i ricorsi
8.1.
ORG-0002
Nome ufficiale: HUS-yhtymä
Numero di registrazione: 1567535-0
Indirizzo postale: PL 445 (Uutistie 5, 01770 Vantaa)
Località: HUS
Codice postale: 00029
Suddivisione del paese (NUTS): Helsinki-Uusimaa (FI1B1)
Paese: Finlandia
Referente: ICT-hankintakategoria
Telefono: +358 947111
Ruoli di questa organizzazione:
Committente
Organizzazione alla quale rivolgersi per informazioni complementari sulle procedure di ricorso
8.1.
ORG-0003
Nome ufficiale: Hansel Oy (Hilma)
Numero di registrazione: FI09880841
Indirizzo postale: Mannerheiminaukio 1a
Località: Helsinki
Codice postale: 00100
Suddivisione del paese (NUTS): Helsinki-Uusimaa (FI1B1)
Paese: Finlandia
Referente: eSender
Telefono: 029 55 636 30
Ruoli di questa organizzazione:
TED eSender
Identificativo/versione dell'avviso: 13a3a3b7-7d3d-49c1-93e4-70158c578c2b - 01
Tipo di formulario: Gara
Tipo di avviso: Bando di gara o di concessione – regime ordinario
Sottotipo di avviso: 16
Data di trasmissione dell'avviso: 08/07/2026 14:59:43 (UTC+00:00) ora dell'Europa occidentale, GMT
Data di trasmissione da parte dell'eSender dell'avviso o bando: 08/07/2026 14:59:44 (UTC+00:00) ora dell'Europa occidentale, GMT
Lingue in cui il presente avviso è ufficialmente disponibile: finlandese
Numero di pubblicazione dell'avviso: 476317-2026
Numero dell'edizione della GU S: 131/2026
Data di pubblicazione: 10/07/2026