ECLI:NL:RBDHA:2020:6590

Rechtbank den haag Team handel - voorzieningenrechter zaak- / rolnummer: C/09/593232 / KG ZA 20-446 Vonnis in kort geding van 14 juli 2020 in de zaak van Advanced Encryption Techonology Europe B.V. te Arnhem, eiseres, advocaten mrs. P.F.C. Heemskerk en F.J.P. Stoop te Amsterdam, tegen: 1de Staat der Nederlanden (Ministerie van Binnenlandse Zaken en Koninkrijksrelaties) te Den Haag, advocaten mrs. J.E. Palm en J.L. Naves te Den Haag, 2. Idemia The Netherlands B.V. te Haarlem, advocaten mrs. A.A.H.J. Huizing en I.M. van Erkel te Amsterdam, gedaagden. Partijen worden hierna respectievelijk aangeduid als ‘AET’, ‘BZK’ en ‘Idemia’. 1.1. Het verloop van de procedure blijkt uit: - de dagvaarding met producties; - de door BZK ingediende conclusie van antwoord met een productie; - de door Idemia ingediende conclusie van antwoord met producties; - de op 23 juni 2020 gehouden mondelinge behandeling, waarbij door AET en door BZK pleitnotities zijn overgelegd. 1.2. Ter zitting is vonnis bepaald op heden. Op grond van de stukken en het verhandelde ter zitting wordt in dit geding van het volgende uitgegaan. 2.1. Op 12 februari 2018 heeft het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (hierna: BZK) een Europese niet openbare aanbesteding aangekondigd voor de levering van de Rijkspas (Rijkspas 3.0). Op de aanbestedingsprocedure is de Aanbestedingswet 2012 (Aw) van toepassing. In de aanbestedingsdocumentatie is vermeld dat gunning zal plaatsvinden op basis van de beste prijs-kwaliteitverhouding. 2.2. De Rijkspas is een multifunctionele smartcard voor de Nederlandse rijksoverheid. De Rijkspas wordt ingezet als toegangsmiddel tot de rijksgebouwen, als authenticatiemiddel en als interdepartementaal legitimatiebewijs. Daarnaast wordt de Rijkspas ook gebruikt voor toegang tot de werkomgeving, printers en andere systemen. De Rijkspas bevat twee chips: een contactchip en een contactloze chip. De contactchip maakt de Rijkspas geschikt voor public key infrastructure (PKI). In de contactchip zit een PKI-applet (software) om de PKI-functies op de contactchip te kunnen ontsluiten, waaronder authenticatie en de elektronische handtekening. Om gekwalificeerde elektronische handtekeningen te kunnen zetten met de Rijkspas moet de combinatie van de PKI-applet en de contactchip gecertificeerd zijn conform de daarvoor geldende wettelijke eisen. Voor het functioneren van PKI is middleware (software) benodigd. Hiermee kunnen de gegevens op de contactchip via de applet en de contactchiplezer worden uitgelezen op de (werkplek)computer. De contactloze chip wordt gebruikt voor fysieke toegang tot panden, printers en andere systemen door deze in de buurt van een paslezer te houden. 2.3. EAT en Idemia werkten samen in het kader van het vorige contract inzake Rijkspas 2.0. Rijkspas 2.0 werd geleverd door Idemia, met AET als onderaannemer en leverancier van de PKI-applet (de Safesign PKI-applet) en de bijbehorende middleware (software). Dit contract liep af in november 2018. AET en Idemia dragen tevens zorg voor de levering van de Rijkspas die wordt gebruikt door medewerkers van het Ministerie van Defensie (hierna: Defensie). 2.4. De aanbestedingsprocedure is nader omschreven in onder meer de Selectieleidraad van 12 februari 2018 (hierna: de Selectieleidraad) en in het Beschrijvend Document van 1 juni 2018 (hierna: het Beschrijvend Document), waarvan deel uitmaakt het door inschrijvers over te leggen Aanbiedingsformulier en akkoordverklaring. 2.5. In het Aanbiedingsformulier en akkoordverklaring is omschreven aan welke eisen Rijkspas 3.0 moet voldoen. Hierin is onder meer vermeld: Chipmodules in de pas E. 29 Inschrijver gebruikt de volgende contactloze chip: Mifare DESFire Ev2 8KB met 70 pF met Common Criteria EAL5+ certification met de laatst bekende firmware. irmware. E. 30 Inschrijver gebruikt de volgende contact chip: SMARTMX2-P60 inclusief JCOP 3.x 80KB single contact interface met Common Criteria EAL5+ certification met de laatst bekende firmware. E. 31 De PKI-applet op de pas wordt met een standaard PKCS#15 structuur gevuld. Aangezien de applet ook geschikt moet zijn voor gebruik met de gekwalificeerde elektronische handtekening dient deze overeenkomstig die wettelijke eisen getoetst te zijn (of worden). E. 32 Inschrijver levert op verzoek van de Opdrachtgever de client middle ware licenties inclusief software onderhoud en support ten behoeve van het PKI-gebruik op de werkplek. E. 33 Zowel de contactchip als contactloze chip wordt door Inschrijver gevuld conform specificaties zoals genoemd in Bijlage F2: Normenkaders Rijkspas Infrastructuur: Functionele specificaties berichtenverkeer en Bijlage F3: Normenkaders Rijkspas Infrastructuur: Technische specificaties berichtenverkeer en Bijlage F4: WSDL. E. 34 De contactchip is voorzien van een PIN en PUK code, het beleid hiervan wordt centraal vastgelegd. De PIN en PUK code dienen door de gebruiker gewijzigd te kunnen worden binnen het vastgestelde beleid. E. 35 Op de pas wordt een PKI-certificaat gezet van een door Rijkspas aangestelde externe CA. Hiervoor dient de WSDL gebruikt te worden zoals beschreven in Bijlage F5 Rijkspas PKI WSDL. E. 36 Inschrijver monitort de voortgang van aangevraagde en geleverde certificaten en meldt omissies aan de Opdrachtgever. E. 37 De contactchip dient ook na levering nog te kunnen worden voorzien van PKI certificaten (Post- issuance). 2.6. Uit paragraaf 4.4.2.1 van de Selectieleidraad, eis P.1 van het Aanbiedingsformulier en de akkoordverklaring behorend bij de Selectieleidraad volgt dat Rijkspas 3.0 backwards compatible moet zijn met Rijkspas 2.0. 2.7. Door de inschrijvers zijn diverse vragen gesteld, die in de Nota van Inlichting van 29 juni 2018 zijn beantwoord. Voor zover relevant luiden deze vragen en antwoorden als volgt: " 12- Vraag: Welke PKI-applet wordt hier bedoeld? Antwoord: De PKI-applet op de kaart wordt met een standaard PKCS#I5 structuur gevuld. Aangezien de applet ook geschikt moet zijn voor het gebruik met de gekwalificeerde elektronische handtekening dient deze overeenkomstig die wettelijke eisen getoetst te zijn (of worden). 13- Vraag: Op welke wijze kan Opdrachtnemer deze PKI-applet verwerven? Antwoord: Opdrachtnemer dient deze component, evenals andere componenten die Opdrachtnemer niet zelf heeft, zelf te verkrijgen. 14- Vraag: Wordt deze PKI-applet door Opdrachtgever ter beschikking gesteld? Antwoord: Nee, Opdrachtnemer dient de gehele oplossing aan te bieden. 15- Vraag: Welke cliënt middleware wordt hier bedoeld? Antwoord: Dit betreft de benodigde software om de PKI op het gebruikersdevice te kunnen gebruiken. Gebruikersdevices draaien op een operating system (OS). De volgende operating systems dienen te worden ondersteund: -Windows 7 en hoger; -Ubuntu 16.10 en hoger; -OS X 10.10 en hoger. 16- Vraag: Op welke wijze kan Opdrachtnemer deze client middleware verwerven? Antwoord: Opdrachtnemer dient deze component, evenals andere componenten die Opdrachtnemer niet zelf heeft, zelf te verkrijgen. 17-Vraag: Betreft dit licenties? Antwoord: Dit betreft de benodigde software om de PKI op het gebruikersdevice te kunnen gebruiken. 3.1. AET vordert – zakelijk weergegeven –: 1) BZK te verbieden om (verdere) uitvoering te geven aan de wezenlijke wijziging van de Opdracht door de scope te verruimen van één ministerie (BZK) naar twee ministeries (BZK en Defensie); 2) BZK te verbieden om (verdere) uitvoering te geven aan de Opdracht met Idemia die afwijkt van de gestelde tendereisen, meer specifiek de gestelde tendereisen, meer specifiek de eis inzake de backwards comptabiliteit met de op basis van AET-technologie installed base (SafeSign PKI-applet en middleware); 3) BZK te verbieden af te wijken van de gemaakte afspraken met Defensie die AET rechtstreeks raken en die zien op de vereiste compatibiliteit en interoperabiliteit van de rijkspas en de defensiepas en het vereiste gebruik van de Safesign PKI-applet voor beide passen; 4) BKZ te gebieden om op grond van artikel 843a van het Wetboek van Burgerlijke Rechtsvordering (Rv) een afschrift te verstrekken van: a. a) de afspraken die BZK met Defensie heeft gemaakt in het kader van de vereiste mate van compatibiliteit en interoperabiliteit van de rijkspas en de defensiepas, meer in het bijzonder afspraken die gaan over de inzet van de Safesign PKI-Applet van AET en van de afspraken die BZK meent te hebben met Defensie over het al dan niet gefaseerd toetreden van de defensiepas tot de rijkspasvoorziening; b) de afspraken tussen BZK en andere ministeries dan Defensie, of andere overheidsdiensten over de uitvoering van Rijkspas 3.0 en de onderlinge interoperabiliteit op basis van de gebruikte PKI-applet en de bijbehorende middleware tussen Rijkspas 2.0 en Rijkspas 3.0 en de in dat kader gehanteerde voorwaarden; c) het technische deel van de offerte van Idemia waaruit blijkt met welke PKI-applet Idemia op de aanbesteding uit 2018 heeft ingeschreven; d) het relevante deel van het certificeringsrapport dat ziet op de door Idemia aangeboden applet, waaruit volgens BZK zou moeten blijken dat de combinatie die BZK voornemens is af te nemen van Idemia ook gecertificeerd is, een ander op straffe van verbeurte van een dwangsom en met veroordeling van BZK in de kosten van deze procedure. 3.2. Daartoe voert AET – kort samengevat – het volgende aan. Tijdens een bijeenkomst op 19 juli 2017 is aan AET en Idemia bekend gemaakt dat zowel BZK als Defensie bij de rijks- en defensiepas zullen blijven werken met de PKI-applet en de middleware van AET. Idemia heeft bij inschrijving ook de AET-applet en middleware aangeboden. Voor de Rijkspas 3.0 wordt echter de eigen applet en middleware software van Idemia toegepast. Dit leidt er toe dat er sprake is van een wezenlijke wijziging, nu de Rijkspas 3.0 ten gevolge hiervan niet in overeenstemming is met de eisen uit de aanbesteding. De door Idemia geboden oplossing is immers niet backwards compatible met de bestaande Rijkspas 2.0. Verder is sprake van een oprekking van de opdracht, nu BZK en Defensie hebben gesproken over de wenselijkheid om Defensie gefaseerd toe te laten treden tot de Rijkspas. Ook in dat opzicht is er sprake van een wezenlijke wijziging. Daarnaast is het nog maar zeer de vraag of de contactchip na levering via post issuance van PKI-certificaten kan worden voorzien. AET heeft belang bij afgifte van de hiervoor genoemde stukken, teneinde te kunnen bewijzen dat BZK afspraken heeft gemaakt met Defensie omtrent de vereiste compatibiliteit en interoperabiliteit van de rijkspas met de defensiepas en dat deze afspraken worden geschonden door niet de SafeSign PKI-applet af te nemen, alsmede om aan te tonen dat de door Idemia aangeboden combinatie niet gecertificeerd is en niet backwards compatible is met de installed base. 3.3. De Staat en Idemia voeren verweer, dat hierna, voor zover nodig, zal worden besproken. 4.1. Door middel van haar hiervoor onder 3.1 vermelde vorderingen sub a), b) en c) wil AET voorkomen dat de op 17 september 2018 - in het kader van de Aanbesteding Rijkspas 3.0 - tussen BZK en Idemia gesloten overeenkomst (onverkort) wordt uitgevoerd. Daaraan legt AET kort gezegd ten grondslag dat BZK handelt in strijd met de met AET gemaakte afspraken met betrekking tot het gebruik van de AET-applet en middleware voor de Rijkspas 3.0, alsmede dat er op meerdere punten sprake is van een wezenlijke wijziging van de opdracht. 4.2. Zowel BZK als Idemia hebben zich in deze procedure op het standpunt gesteld dat de hiervoor genoemde vorderingen van AET dienen te worden afgewezen, nu AET de rechtsgeldigheid van de op 17 september 2018 gesloten Overeenkomst in rechte niet meer kan aanvechten. 4.3. Dit verweer slaagt. De Hoge Raad heeft in zijn arrest van 18 november 2016 (ECLI:NL:HR:2016:2638) bepaald dat een als resultaat van een gunningsbeslissing tot stand gekomen overeenkomst wegens strijd met aanbestedingsregels slechts in rechte vernietigbaar is op de gronden vermeld in artikel 4.15 lid 1 Aw en dat deze in andere gevallen slechts aantastbaar is in het geval van wilsgebreken en in het geval van nietigheid of vernietigbaarheid ingevolge artikel 3:40 van het Burgerlijk Wetboek (BW). Ditzelfde toetsingskader geldt in het geval dat – zoals in deze zaak – wordt beoogd de uitvoering van de als resultaat van de gunningsbeslissing tot stand gekomen overeenkomst te verhinderen. In artikel 4.15, tweede lid, Aw is vervolgens bepaald binnen welke termijn de vordering tot vernietiging door een ondernemer, die zich door een gunningsbeslissing benadeeld acht, dient te worden ingesteld. In onderdeel a van dit artikellid is bepaald dat dit, ingeval van een aankondiging van de gegunde opdracht dan wel een kennisgeving van de aanbestedende dienst van het sluiten van de overeenkomst, dient te gebeuren binnen een periode van 30 dagen na deze aankondiging/kennisgeving. In onderdeel b van bedoeld artikellid is bepaald dat in andere gevallen dan bedoeld in onderdeel a de vordering tot vernietiging dient te worden ingesteld binnen zes maanden na de datum waarop de overeenkomst is gesloten. Met bedoelde termijnen wordt voorzien in een waarborg voor aanbestedende diensten en opdrachtnemers dat op relatief korte termijn zekerheid bestaat over de vraag of een overeenkomst kan worden gesloten en deze overeenkomst vervolgens vlot genoeg ten uitvoer kan worden gelegd (vgl. HR 18 november 2016, ECLI:NL:HR:2016:2638). 4.4. De Overeenkomst is als gezegd gesloten op 17 september 2018. AET betoogt dat zij er pas in januari 2020 van op de hoogte raakte dat de Rijkspas 3.0, in strijd met de tussen BZK en AET gemaakte afspraken, werd uitgeleverd met de applet en middleware van Idemia. AET verkeerde naar eigen zeggen in de veronderstelling dat zij feitelijk onderaannemer was van Idemia bij de aanbestedingsprocedure, er vanuit gaande dat de door haar op 3 juli 2018 aan Idemia verstuurde offerte ten grondslag lag aan de inschrijving van Idemia. Bovendien is het gebruik van de AET-applet en middleware in de visie van AET ook voorgeschreven in de aanbestedingsstukken. 4.5. Wat dit laatste punt betreft is de voorzieningenrechter van oordeel dat dit niet uit de aanbestedingsstukken valt af te leiden, nu dit nergens als zodanig is vermeld. Dit blijkt ook niet uit de onder 2.5 genoemde eisen waaraan de chipmodules moeten voldoen, noch blijkt uit de in de Nota van Inlichtingen weergegeven vragen en antwoorden dat het gebruik van de AET-applet en middleware zijn voorgeschreven. Integendeel, in de Nota van Inlichtingen is vermeld dat de inschrijvers de PKI-applet zelf moeten verwerven als ze die niet zelf hebben. Ditzelfde geldt voor de middleware, zonder dat daarbij is vermeld dat die afkomstig moet zijn van AET. Gelet hierop had het voor de hand gelegen dat AET, indien zij er van uit ging dat de PKI-applet verplicht was, BZK had gevraagd waarom nergens werd aangegeven dat het gebruik van de AET-applet en middleware was voorgeschreven, te meer nu AET samen met Multipost heeft ingeschreven op de aanbesteding en ook zij in dat kader vragen had kunnen stellen op dit punt. AET heeft van die gelegenheid geen gebruik gemaakt, ondanks het feit dat zij op zijn minst genomen gealarmeerd had moeten zijn vanwege het ontbreken van het gestelde voorgeschreven gebruik van haar applet en middleware in de aanbestedingsstukken. Nu AET dit niet heeft gedaan heeft zij haar rechten verwerkt daarover thans nog te klagen. Het standpunt van AET dat zij er vanuit ging dat zij feitelijk als onderaannemer van Idemia zou fungeren kan de voorzieningenrechter evenmin volgen. Daargelaten dat Idemia niet heeft ingeschreven met AET als onderaannemer, zoals door Idemia onweersproken is aangevoerd, is AET noch Idemia teruggekomen op de offerte die AET op 3 juli 2018 aan Idemia heeft verzonden, zodat AET er zeker niet zonder meer vanuit mocht gaan dat Idemia met de AET-applet en middleware had ingeschreven. Dat klemt te meer daar Idemia ook na de gunning AET op geen enkel moment heeft bericht dat zij ter zake van de diensten van AET gebruik zou gaan maken, hetgeen toch voor de hand zou hebben gelegen. Ook in dat kader had het op de weg van AET gelegen daarop gerichte vragen aan Idemia te stellen. AET heeft haar bezwaren dan ook veel te laat naar voren gebracht, waardoor de tussen BZK en Idemia gesloten Overeenkomst naar voorlopig oordeel van de voorzieningenrechter in zoverre onaantastbaar is geworden. Daarbij komt dat in de onderhavige procedure voorshands niet aannemelijk is geworden dat, zoals AET aanvoert, door BZK aan AET is toegezegd dat de AET-applet en middleware zouden worden ingezet voor Rijkspas 3.0. Dat partijen in dat kader afspraken hebben gemaakt is, gelet op de gemotiveerde betwisting daarvan door BZK, door AET onvoldoende onderbouwd. BZK heeft voorts uitdrukkelijk en gemotiveerd betwist dat dit gebruik, zoals AET stelt, noodzakelijk was om aan de gestelde eisen te kunnen voldoen. Mocht in de bodemprocedure alsnog blijken dat er wel een dergelijke toezegging is gedaan aan AET, dan kan dit mogelijk nog leiden tot toewijzing van een schadevergoedingsvordering, maar naar voorshands oordeel niet meer tot vernietiging van de Overeenkomst, nu de hiervoor genoemde termijn van zes maanden inmiddels ruimschoots is verstreken. 4.6. Het voorgaande leidt er toe dat in het beperkte kader van dit kort geding niet aannemelijk is geworden dat de door AET ingestelde vordering tot vernietiging van de Overeenkomst door de bodemrechter zal worden gehonoreerd, zodat de voorzieningenrechter geen aanleiding ziet de door AET gevorderde voorlopige maatregelen te treffen. Gelet hierop kan in het midden blijven of de door Idemia geboden oplossing compatible is met de Rijkspas 2.0, evenals het antwoord op de vraag of alleen met de AET-applet aan eis 37 inzake post-issuance kan worden voldaan. Overigens hebben BZK en Idemia uitvoerig en gemotiveerd betwist dat de door Idemia geboden oplossing niet aan de voorgeschreven (technische) eisen voldoet inzake de voorgeschreven compatibiliteit met de Rijkspas 2.0 en de voorgeschreven certificering (Eis 31), en dat er anderszins sprake is van een wezenlijke wijziging van de opdracht. De beoordeling daarvan is thans, vanwege het tijdsverloop sinds het sluiten van de Overeenkomst, als gezegd niet meer aan de orde. Dit geldt eveneens voor de stelling van AET dat de opdracht op ontoelaatbare wijze wordt opgerekt van één naar twee ministeries. Hetgeen partijen in dat kader naar voren hebben gebracht kan derhalve verder onbesprokenblijven. De voorzieningenrechter: 5.1. wijst de vorderingen van AET af; 5.2. veroordeelt AET in de kosten van dit geding tot dusverre aan de zijde van zowel BZK als Idemia begroot op € 1.636,--, waarvan € 980,-- aan salaris advocaat en € 656,-- aan griffierecht en te betalen binnen veertien dagen nadat dit vonnis is uitgesproken; 5.3. bepaalt dat AET bij gebreke van tijdige betaling de wettelijke rente over de proceskosten verschuldigd is; 5.4. verklaart deze proceskostenveroordeling uitvoerbaar bij voorraad. Dit vonnis is gewezen door mr. S.J. Hoekstra-van Vliet en in het openbaar uitgesproken op 14 juli 2020. Bij afwezigheid van mr. Hoekstra-van Vliet is dit vonnis ondertekend door mr. G.H.I.J. Hage. hf