Consulta:

Referencia: Sección Autorización del Fabricante (pág. 15) y Capacidad Técnica, literal h) y su requisito documental h) (págs. 28 y 29)
Texto observado:
"El oferente deberá presentar fotocopia simple del documento vigente que acredite fehacientemente que el mismo es Fabricante y/o Representante Oficial y/o Distribuidor Oficial y/o Partner Autorizado por el mismo para el Paraguay de la herramienta a ser utilizada para la prestación del servicio."
Fundamento:
El objeto del llamado es un servicio profesional de alineación de controles, en el cual la herramienta GRC opera como insumo bajo modalidad SaaS y suscripción por 12 meses, sin incorporación al inventario del BCP (punto 7.1). En este segmento, la mayoría de los fabricantes de plataformas GRC comercializa en forma directa o a través de canales regionales, sin designar representantes, distribuidores o partners con alcance territorial específico para el Paraguay. Exigir la condición de canal designado para el país como requisito de admisibilidad traslada de hecho al fabricante la facultad de determinar quiénes pueden participar, lo que restringe la concurrencia sin que el pliego exponga la necesidad funcional que lo justifique. El artículo 45 de la Ley N° 7021/22 dispone que las bases deben elaborarse "con la mayor amplitud de acuerdo con la naturaleza específica del contrato con el objeto de que concurra el mayor número de Oferentes" y que no podrán establecerse "elementos que no resulten técnicamente indispensables en los pliegos de bases y condiciones si con ello se limitan las posibilidades de concurrencia". En igual sentido, el artículo 58 del Decreto N° 2264/24.
Solicitud:
Se solicita a la Convocante que exponga el fundamento técnico de la exigencia de designación con alcance territorial para el Paraguay y que, subsidiariamente, modifique el requisito admitiendo como documento válido cualquier instrumento emitido por el fabricante o por su canal regional que acredite la provisión de la suscripción y el soporte para el presente procedimiento, en los siguientes términos: "Documento vigente emitido por el fabricante, o por el distribuidor o partner regional del fabricante, que acredite que el oferente cuenta con autorización para comercializar la suscripción y prestar el servicio de soporte de la herramienta ofertada en el marco del presente procedimiento".

Consulta:

Referencia: EETT, punto 4.1 y Capacidad Técnica, literal c) y su requisito documental c) (págs. 28, 29 y 41)
Texto observado:
"Contar dentro del equipo técnico con al menos 1 (un) miembro con una certificación/especialización de nivel Profesional o equivalente del fabricante de la herramienta a ser utilizada para la prestación del servicio."
Fundamento:
La exigencia presupone que todo fabricante de herramientas GRC en modalidad SaaS administra un programa de certificación de personas estructurado por niveles y que dicho programa contempla un nivel denominado "Profesional". En el segmento GRC esa condición no es uniforme: numerosos fabricantes acreditan la habilitación de personal mediante programas de enablement, cursos de administración o credenciales de aprobación sin denominación de nivel, y otros no ofrecen certificación de personas sino habilitación por cuenta. El pliego tampoco precisa qué criterio aplicará el Comité de Evaluación para determinar la equivalencia, ni ante quién se acredita, lo que introduce indeterminación en un requisito de calificación. El artículo 58 del Decreto N° 2264/24 exige que las especificaciones técnicas sean "lo suficientemente claras, objetivas e imparciales, para evitar favorecer indebidamente a algún participante".
Solicitud:
Se solicita a la Convocante que aclare el criterio objetivo con el que se evaluará la equivalencia de la certificación del fabricante y que, subsidiariamente, modifique el requisito en los siguientes términos: "Al menos un (1) miembro del equipo técnico deberá acreditar, mediante documento emitido por el fabricante de la herramienta ofertada, capacitación y/o certificación en la administración de dicha herramienta. Cuando el fabricante no cuente con un programa de certificación por niveles, se admitirá como equivalente la constancia de capacitación o habilitación emitida por el mismo". Asimismo, se solicita se aclare si dicha acreditación podrá ser presentada al inicio de la ejecución contractual.

Consulta:

Referencia: EETT, punto 4.2 — Experiencia específica del Líder Técnico (pág. 42), en relación con el punto 4.3 (pág. 43)
Texto observado:
"Debe contar por lo menos con 3 (tres) de las siguientes certificaciones: CISSP; CCISO; CSF LI; GCCC; ISO 27001 - Lead Auditor; ISO 27005 - Lead Risk Manager; ISO 27032 - Senior Lead Cybersecurity Manager; ISO 31000 - Lead Risk Manager; CISM; CDPSE; CISA; CRISC; CCSP."
Fundamento:
El listado del punto 4.2 excluye credenciales que el propio pliego admite en el punto 4.3 para el resto del equipo, entre ellas ISO 27001 - Lead Implementer, CGEIT, LCSPC, CEH/CEH Master y CompTIA Cloud+. La omisión de ISO 27001 - Lead Implementer resulta particularmente llamativa, dado que las Fases 3 y 4 del servicio consisten precisamente en desarrollar documentación normativa e implementar mejoras para el estándar ISO 27001: la credencial más directamente vinculada al objeto contratado no computa para el rol que lidera esa implementación, mientras sí computa para los miembros que reportan a él. La exigencia acumulativa de tres certificaciones en una misma persona física, sobre un listado más restringido que el aplicable al resto del equipo, reduce el universo de profesionales elegibles sin que el pliego exponga la razón de la asimetría.
Solicitud:
Se solicita a la Convocante que fundamente técnicamente la exclusión, para el Líder Técnico, de las certificaciones admitidas en el punto 4.3 y que, subsidiariamente, unifique ambos listados y reduzca la exigencia, en los siguientes términos: "El Líder Técnico deberá contar por lo menos con 2 (dos) certificaciones vigentes de entre las enumeradas en el punto 4.3, o sus equivalentes debidamente acreditados, y con experiencia demostrable igual o mayor a 5 años en gestión de seguridad de la información".

Consulta:

Referencia: EETT, punto 4.1 — Preparación del Equipo Técnico (pág. 41)
Texto observado:
"Se requiere un plantel técnico que esté conformado por 3 (tres) o más profesionales con grado académico universitario en las áreas de Informática, Ciberseguridad o Telecomunicaciones."
Fundamento:
El objeto contratado es una solución integral de gobernanza, gestión de riesgos y cumplimiento normativo (GRC), y comprende análisis de brechas, desarrollo de políticas y procedimientos, pre-auditoría y acompañamiento de auditorías internas y externas (puntos 1.2, 1.3, 1.6 y 1.10). Estas actividades son desempeñadas habitualmente por profesionales de auditoría, gestión de riesgos, cumplimiento normativo y ciencias jurídicas. El propio pliego admite en los puntos 4.2 y 4.3 certificaciones cuyo ámbito natural son esos perfiles —CISA, CRISC, CDPSE, ISO 31000 Lead Risk Manager, CGEIT—, ninguna de las cuales exige título universitario en Informática, Ciberseguridad o Telecomunicaciones. Existe, por tanto, una tensión entre el grado académico exigido y las competencias que el mismo pliego reconoce como idóneas, que restringe la conformación del plantel sin correlato con la naturaleza del servicio.
Solicitud:
Se solicita a la Convocante que amplíe el requisito de formación académica, en los siguientes términos: "Se requiere un plantel técnico conformado por 3 (tres) o más profesionales con grado académico universitario en Informática, Ciberseguridad, Telecomunicaciones, Ingeniería, Auditoría, Contabilidad, Ciencias Jurídicas, Administración o carreras afines, siempre que acrediten las certificaciones y la experiencia específica exigidas en los puntos 4.2 a 4.5".

Consulta:

Referencia: EETT, puntos 4.1, 4.3 y Capacidad Técnica, literales b) y c) (págs. 28, 41 y 43)
Texto observado:
"Exceptuando las certificaciones del líder técnico, por lo menos 2 miembros del equipo técnico deben contar con al menos dos (2) certificaciones en marcos de trabajo de gestión y soporte de seguridad de la información [...]."
Fundamento:
Considerados en conjunto, los requisitos aplicables al plantel mínimo de tres personas previsto en el punto 4.1 determinan que el oferente deba acreditar, al momento de la apertura, no menos de siete (7) certificaciones profesionales individuales —tres en el Líder Técnico y dos en cada uno de los otros dos miembros—, más una certificación del fabricante de la herramienta, más título universitario en tres áreas acotadas para los tres integrantes, más diez (10) años de experiencia específica en sumatoria y quinientas (500) horas de servicio comprobables. Cada exigencia considerada aisladamente puede resultar defendible; su intersección, en cambio, reduce sensiblemente el número de firmas en condiciones de participar en el mercado nacional. El artículo 45 de la Ley N° 7021/22 prohíbe establecer "elementos que no resulten técnicamente indispensables" cuando con ello se limitan las posibilidades de concurrencia.
Solicitud:
Se solicita a la Convocante que fundamente la proporcionalidad del conjunto de exigencias de calificación del equipo técnico respecto del alcance y la duración del servicio, y que, subsidiariamente, reduzca a una (1) la cantidad de certificaciones exigidas por miembro distinto del Líder Técnico, o bien admita expresamente que las certificaciones exigidas puedan acreditarse en forma acumulada por el plantel presentado y no individualmente por cada miembro.

Consulta:

Referencia: EETT, punto 4.5 — Experiencia del Equipo Técnico (pág. 44)
Texto observado:
"Se requiere que la suma de experiencia comprobable de los miembros del plantel presentado sea al menos de 500 (quinientas) horas de servicio exitoso ejecutado [...] se contabilizará a razón de 8 horas por día, 40 horas por semana, 120 horas por mes."
Fundamento:
El requisito plantea dos cuestiones. La primera es de acreditación: el apartado Requisitos documentales para evaluar el criterio de capacidad técnica solo prevé la presentación de currículum vítae con "documentos acreditantes", sin precisar qué instrumento se considerará idóneo para demostrar horas efectivamente ejecutadas por cada profesional en cada proyecto. En servicios de seguridad de la información, los contratos suelen estar alcanzados por acuerdos de confidencialidad que impiden que el cliente final certifique la carga horaria individual del personal. La segunda es de consistencia interna: la regla de conversión establece 40 horas por semana pero 120 horas por mes, equivalente a tres semanas, lo que arroja resultados distintos según la unidad temporal en que el antecedente esté documentado.
Solicitud:
Se solicita a la Convocante que aclare (i) qué documentos se admitirán para acreditar las horas ejecutadas por cada profesional —constancias del cliente, órdenes de servicio, informes de cierre, declaración jurada del oferente u otros—; y (ii) el criterio de conversión aplicable cuando el antecedente esté expresado en meses, precisando si se mantiene el factor de 120 horas mensuales o si corresponde aplicar 160 horas, por coherencia con el factor semanal de 40 horas indicado en el mismo punto.

Consulta:

Referencia: Experiencia requerida y Requisitos documentales para la evaluación de la experiencia, incisos a) y c) (págs. 27 y 28)
Texto observado:
"a. Demostrar una antigüedad mínima de 5 (cinco) años de existencia legal (inclusive para las firmas unipersonales). [...] c) [...] referencias satisfactorias de clientes finales, como mínimo 3 (tres) [...]."
Fundamento:
El pliego combina una antigüedad mínima de cinco años de existencia legal con la presentación de tres referencias de clientes finales y con índices financieros calculados sobre tres ejercicios fiscales cerrados. En el caso de consorcios, el Socio Gestor debe cumplir íntegramente los incisos a) y c), de modo que el mecanismo consorcial no permite compensar la antigüedad. El efecto combinado excluye a firmas especializadas en ciberseguridad de constitución más reciente que cuenten con capacidad técnica y financiera suficiente. El artículo 4°, inciso d), de la Ley N° 7021/22 establece que "todo potencial oferente que tenga la solvencia técnica, económica y legal necesaria [...] tendrá la posibilidad de participar sin restricciones y en igualdad de oportunidades".
Solicitud:
Se solicita a la Convocante que exponga la relación entre la antigüedad de cinco años y la naturaleza del servicio contratado, y que, subsidiariamente, reduzca dicha exigencia a tres (3) años de existencia legal, manteniendo inalterados los requisitos de experiencia específica por monto y de referencias de clientes finales. Alternativamente, se solicita se admita que, en caso de consorcio, la antigüedad prevista en el inciso a) pueda ser acreditada por cualquiera de los integrantes.

Consulta:

Referencia: EETT, punto 3.2 — Características técnicas de la herramienta (pág. 39)
Texto observado:
"Debe cumplir con los requerimientos de seguridad indicados en la RESOLUCIÓN N° 10, Acta N° 43 de fecha 28 de julio de 2022 - REGLAMENTO DE USO DE SERVICIOS PARA COMPUTACIÓN EN LA NUBE."
Fundamento:
El pliego exige el cumplimiento de un reglamento interno de la Convocante que no se encuentra publicado como anexo del procedimiento en el SICP ni resulta accesible por otro medio para los potenciales oferentes. Sin conocer su contenido, el oferente no puede verificar si la herramienta ofertada satisface los requerimientos exigidos, ni dimensionar los costos y las adecuaciones asociadas, ni completar de manera veraz la declaración jurada del cuadro de especificaciones técnicas. El artículo 45 de la Ley N° 7021/22 exige que las bases sean "suficientemente claras, objetivas e imparciales" y que los documentos del procedimiento se pongan a disposición de los interesados a través del SICP.
Solicitud:
Se solicita a la Convocante que publique como anexo del presente llamado, mediante adenda, el texto íntegro de la Resolución N° 10, Acta N° 43 de fecha 28 de julio de 2022 - Reglamento de Uso de Servicios para Computación en la Nube, o bien que transcriba en el pliego los requerimientos de seguridad concretos y verificables que la herramienta ofertada debe satisfacer, otorgando el plazo correspondiente para la revisión de las ofertas en preparación.

Consulta:

Referencia: EETT, puntos 6.1 y 6.7 — Soporte (págs. 44 y 45)
Texto observado:
"6.1 Debe incluir el soporte técnico del tipo 8*5 tanto por parte del fabricante como por parte del Proveedor durante 12 meses. [...] 6.7 Debe incluir soporte por parte del fabricante en un tiempo no mayor a 120 minutos."
Fundamento:
Los fabricantes de plataformas GRC en modalidad SaaS estructuran el soporte en planes con tiempos de respuesta diferenciados, y los compromisos de respuesta en plazos breves suelen corresponder a niveles premium contratados por volumen de usuarios o por acuerdos corporativos. Para una suscripción de diez (10) usuarios y doce (12) meses, como la prevista en el punto 7.1, el compromiso de una respuesta del fabricante en un plazo no mayor a 120 minutos puede no estar disponible como oferta estándar de mercado. Adicionalmente, el pliego no precisa si el plazo de 120 minutos se computa como acuse de recepción, como asignación de caso o como respuesta técnica sustantiva, ni si el cómputo se realiza dentro de la ventana 8x5 prevista en el punto 6.1.
Solicitud:
Se solicita a la Convocante que aclare el alcance del plazo de 120 minutos previsto en el punto 6.7 —acuse de recepción, asignación o respuesta técnica— y su relación con la ventana 8x5 del punto 6.1; y que, subsidiariamente, admita que el nivel de servicio del fabricante se acredite mediante la documentación oficial del plan de soporte contratado, quedando la responsabilidad por el cumplimiento del tiempo de respuesta frente al BCP a cargo del Proveedor conforme a los acuerdos de nivel de servicio del punto 6.3.

Consulta:

Referencia: EETT, punto 1.3 en relación con los puntos 1.6 y 1.7 (págs. 37 y 38)
Texto observado:
"El servicio debe alinearse con las versiones más actualizadas de tres estándares: ISO 27000, CIS Controls y NIST CSF."
Fundamento:
El punto 1.3 identifica el primer estándar como "ISO 27000", que es la norma de vocabulario y visión general de la familia y no contiene requisitos ni controles auditables. En cambio, los puntos 1.6 y 1.7, así como los entregables de las Fases 3 y 4 del apartado Condiciones Generales, se refieren expresamente a ISO 27001. La discrepancia incide sobre el alcance del análisis de brechas, del desarrollo normativo y de la pre-auditoría comprometida, y por tanto sobre el dimensionamiento del esfuerzo y del precio de la oferta.
Solicitud:
Se solicita a la Convocante que aclare, mediante adenda, que el estándar aplicable en el punto 1.3 es ISO/IEC 27001 en su versión vigente —con ISO/IEC 27002 como referencia de controles—, en concordancia con los puntos 1.6 y 1.7 y con los entregables definidos para las Fases 3 y 4.