Consulta:

En relación al requisito que exige "Planilla del Instituto de Previsión Social correspondiente al mes anterior vencido a la fecha de la etapa competitiva, donde figure todo el personal solicitado que deberá formar parte del plantel de la empresa" para los Analistas de Ciberseguridad, esta exigencia resulta técnica y lógicamente inconsistente con la naturaleza de las empresas prestadoras de servicios profesionales, toda vez que ninguna empresa seria puede mantener en planilla, de forma permanente y ociosa, personal específico y altamente calificado (con certificaciones como CEH, OSCP, CySA+, GSEC, SC-200, entre otras) a la espera de una eventual adjudicación, sin tener asignación de tareas ni facturación que justifique dicho costo laboral; por el contrario, la práctica habitual y económicamente racional del mercado es que dicho personal sea contratado o reasignado específicamente para la ejecución del contrato una vez producida la adjudicación, por lo que exigir su inscripción previa en el IPS obliga en los hechos a las empresas oferentes a una de dos alternativas igualmente perjudiciales: (i) despojar de personal activo a otros clientes o proyectos en curso para simular el cumplimiento del requisito, en detrimento de sus compromisos contractuales vigentes, o (ii) quedar automáticamente excluidas del proceso por no contar con personal ocioso preasignado, lo cual no guarda relación de causalidad alguna con la idoneidad técnica del oferente ni con su capacidad real de prestar el servicio; a mayor abundamiento, dicha idoneidad y capacidad de gestión de recursos humanos especializados en seguridad de la información ya se encuentra suficientemente acreditada y respaldada mediante la exigencia —contenida en el propio pliego— de la certificación ISO 27001:2022, estándar internacional específicamente diseñado para garantizar la gestión adecuada de la seguridad de la información, incluyendo la capacidad organizacional de la empresa para reclutar, capacitar y desplegar personal calificado conforme a los controles del Anexo A relativos a Seguridad de los Recursos Humanos, por lo que la exigencia adicional de planilla de IPS previa resulta redundante, desproporcionada y carente de justificación técnica autónoma; en consecuencia, se solicita a la Convocante: a) eliminar la exigencia de presentar la Planilla de IPS del mes anterior vencido como requisito habilitante para la presentación de ofertas, por resultar contraria a los principios de Economía, Eficiencia, Igualdad y Libre Concurrencia; y b) sustituirla por una Declaración Jurada de compromiso de contratación e incorporación del personal propuesto, exigible la planilla de IPS correspondiente recién como condición de inicio de ejecución contractual, momento en el cual resulta razonable y proporcional verificar que el personal se encuentre efectivamente incorporado al plantel de la empresa adjudicada.

Consulta:

Texto / Exigencia Actual: "Experiencia mínima de 2 (años) años en ciberseguridad (...). Certificaciones referenciales: CompTIA Security+ y/o PenTest+ y/o CySA+ y/o CEH y/o CHFI y/o CND y/o C|CT y/o TIE y/o NDE y/o CC y/o GSEC y/o eCPPT y/o OSCP y/o eJPT y/o PJPT y/o MS SC-200."
Consulta / Observación / Petición Concreta:
En el Numeral 1 de las Especificaciones Técnicas, el Pliego establece como requisito de perfil para los Analistas de Ciberseguridad una experiencia mínima de 2 (dos) años y un listado de certificaciones referenciales de carácter alternativo (conector "y/o"), sin especificar si adicionalmente se exige título universitario, terciario o de tecnicatura en Informática, Sistemas, Ingeniería Informática/en TI o carreras afines. Esta omisión genera incertidumbre sobre el alcance real del requisito de idoneidad profesional, en detrimento del principio de transparencia y determinabilidad de las condiciones de participación que rige las contrataciones públicas, así como del principio de libre concurrencia, dado que profesionales altamente calificados y certificados —pero sin título universitario formal, perfil frecuente en el ámbito operativo de ciberseguridad— podrían quedar en situación de incertidumbre respecto a su elegibilidad, o inversamente, oferentes podrían verse obligados a exigir un requisito no anunciado a su personal. Se solicita a la Convocante aclarar expresamente: (i) si el perfil de Analista de Ciberseguridad requiere título universitario, terciario o tecnicatura en Informática/Sistemas/afines como condición excluyente; (ii) en caso afirmativo, se solicita fundamentar la razonabilidad de dicha exigencia adicional frente a un perfil ya acreditado mediante las certificaciones técnicas específicas del sector listadas en el propio Pliego; y (iii) en caso negativo, se solicita la incorporación de una Circular Aclaratoria que establezca expresamente que la combinación de experiencia mínima (2 años) y al menos una de las certificaciones referenciales enumeradas constituye requisito suficiente y excluyente de idoneidad profesional, sin exigencia adicional de título académico formal, a los efectos de brindar certeza jurídica a los oferentes en la conformación de sus equipos técnicos.

Consulta:

En los Requisitos de Capacidad Técnica, Punto 1, el PBC exige la provisión de "Analistas de Ciberseguridad (cantidad 3)". Los Requisitos Documentales, Punto 1, exigen además la "Planilla del Instituto de Previsión Social correspondiente al mes anterior vencido a la fecha de la etapa competitiva, donde figure todo el personal solicitado que deberá formar parte del plantel de la empresa". Leídas en conjunto, ambas cláusulas definen el objeto de la contratación por la cantidad de personas a proveer y por su vínculo laboral previo con el oferente, y no por el servicio de ciberseguridad a prestar. Ese esquema corresponde al suministro o intermediación de personal, propio de empresas reclutadoras o de recursos humanos, que mantienen profesionales disponibles para colocarlos en instituciones de terceros. No corresponde a una empresa especializada que presta directamente servicios de ciberseguridad bajo su propia gestión técnica, metodología y responsabilidad. En una empresa de ciberseguridad, los analistas del plantel ya están asignados a servicios en ejecución para otros clientes. Exigir que tres (3) de ellos figuren en la planilla del IPS antes de la adjudicación obliga al oferente a retirarlos de contratos vigentes o a mantenerlos sin asignación durante todo el proceso licitatorio, sin certeza de resultado. Ninguna de las dos alternativas es razonable para una empresa que presta servicios reales. Por el contrario, esta exigencia beneficia únicamente a oferentes cuyo modelo de negocio es la colocación de personal, lo que desnaturaliza el objeto del llamado, denominado "Servicio de Soporte de Técnicos Analistas en Ciberseguridad". Una empresa de ciberseguridad con certificación ISO 27001 vigente y estructura de respaldo técnico de segundo nivel está en condiciones de incorporar a los tres (3) profesionales idóneos que cumplan los perfiles requeridos para cubrir la necesidad de la Convocante. La acreditación de su vínculo laboral y su inscripción en el IPS corresponden a la etapa de ejecución contractual, y la Convocante puede verificarlas al momento de la firma del contrato o del inicio del servicio. Mantener la exigencia en la etapa de evaluación configura una barrera de entrada que restringe la participación a un tipo de oferente, contraria a los principios de Libre Competencia, Igualdad de Condiciones y Proporcionalidad de la Ley N° 7021/2022 "De Suministro y Adquisiciones Públicas". Por lo expuesto, solicitamos a la Convocante eliminar el requisito de que los tres (3) Analistas de Ciberseguridad figuren en la Planilla del IPS correspondiente al mes anterior vencido a la fecha de la etapa competitiva. Asimismo, solicitamos que la acreditación del personal en la etapa de ofertas se limite a los Currículum Vitae con sus respaldos, las certificaciones profesionales verificables y una Declaración Jurada del oferente comprometiéndose a incorporar a dichos profesionales a su plantel e inscribirlos en el IPS como condición previa al inicio de la prestación del servicio.

Consulta:

En el apartado “Requisitos documentales para evaluar el criterio de capacidad técnica”, punto 1, se exige la presentación de la planilla del Instituto de Previsión Social correspondiente al mes anterior vencido, en la cual deberán figurar los tres Analistas de Ciberseguridad solicitados.
Al respecto, solicitamos a la Convocante modificar el requisito, permitiendo acreditar la vinculación laboral mediante la presentación de la planilla del Instituto de Previsión Social o, alternativamente, contrato de trabajo vigente.
La finalidad del requisito consiste en demostrar que los profesionales propuestos mantienen una relación laboral vigente con el oferente y estarán disponibles para la ejecución del servicio. Dicha finalidad puede acreditarse razonablemente mediante cualquiera de los documentos señalados, sin afectar la verificación de la experiencia, formación, certificaciones ni demás condiciones técnicas exigidas para cada analista.
Limitar la acreditación exclusivamente a la planilla del IPS impide la participación de oferentes que por ejemplo hayan incorporado recientemente profesionales calificados, quienes podrían no figurar todavía en la planilla correspondiente al mes anterior vencido por razones propias del periodo de declaración.

Consulta:

En el apartado “Requisitos documentales para evaluar el criterio de capacidad técnica”, punto 1, se establece que la experiencia de los Analistas de Ciberseguridad deberá acreditarse mediante constancias laborales y/o contratos.
Al respecto, solicitamos a la Convocante modificar el citado requisito, permitiendo que la experiencia también pueda acreditarse mediante una declaración jurada suscrita por el representante legal del oferente, en la cual se identifique al profesional, el cliente o proyecto en el que participó, el periodo de prestación, el cargo o función desempeñada.
La solicitud obedece a que, cuando el profesional mantiene una relación de dependencia con el oferente, los contratos y constancias de servicios son normalmente emitidos a nombre de la empresa contratada y no de cada integrante de su plantel. Por consiguiente, dichos documentos no siempre individualizan a los profesionales que participaron efectivamente en la ejecución de los proyectos, aun cuando estos hayan intervenido directamente en los trabajos.
En estas condiciones, limitar la acreditación exclusivamente a constancias laborales o contratos particulares puede impedir el reconocimiento de experiencia técnica real y verificable. La presentación de una declaración jurada del oferente permitiría individualizar la participación del profesional, sin reducir las exigencias de formación, certificación y experiencia previstas en el PBC, las cuales seguirían siendo verificadas mediante el currículum y los demás documentos requeridos.

Consulta:

En el apartado “Capacidad Técnica”, punto 1, el PBC establece un listado referencial de certificaciones profesionales para los Analistas de Ciberseguridad y exige que cada analista cuente con al menos una de ellas, presentada con código QR o mecanismo de verificación en línea. Asimismo, el alcance incluye actividades de monitoreo, análisis de amenazas, gestión de vulnerabilidades, respuesta a incidentes, análisis forense y operación de herramientas de seguridad.
Al respecto, solicitamos a la Convocante modificar y ampliar el referido requisito, permitiendo que también sean aceptados certificados de especializaciones en ciberseguridad emitidos por plataformas de aprendizaje internacionales reconocidas, tales como TryHackMe, Hack The Box Academy u otras equivalentes.
Por ejemplo, estas plataformas ofrecen rutas estructuradas orientadas a perfiles específicos de ciberseguridad. En particular, TryHackMe presenta su ruta SOC Level 1 con contenidos relacionados con operaciones SOC, EDR, SIEM, SOAR, análisis de phishing, monitoreo de seguridad, análisis de tráfico y respuesta ante incidentes, además de emitir un certificado de finalización al completar la ruta. Por su parte, Hack The Box Academy dispone de rutas de habilidades y de roles profesionales, integradas por módulos organizados de manera progresiva, así como certificaciones prácticas orientadas, entre otras áreas, al análisis defensivo, operaciones SOC y gestión de incidentes.
Además, el PBC exige que el oferente disponga de una estructura o red de profesionales de segundo nivel para validar las acciones de los analistas y atender el escalamiento de incidentes complejos. Esta condición proporciona un respaldo técnico adicional durante la ejecución del servicio.