En relación con la LPN N.º 01/2026 “Adquisición de Notebooks para Institutos de Formación Docente” – ID N.º 491680, solicitamos respetuosamente a la Convocante revisar el requisito establecido en la sección “Requisitos de participación y criterios de evaluación – Capacidad Técnica”, numeral 8, mediante el cual se exige que el oferente presente una certificación vigente ISO/IEC 27001:2022, emitida por un organismo certificador acreditado.
El mismo requisito se encuentra reproducido en el numeral 8 de “Requisitos documentales para evaluar el criterio de capacidad técnica”.
Comprendemos y compartimos la necesidad de garantizar la seguridad, confidencialidad, integridad y disponibilidad de la información relacionada con la solución de administración remota, geolocalización administrativa, inventario y trazabilidad requerida por la Convocante.
No obstante, la certificación ISO/IEC 27001:2022 acredita que una organización cuenta con un Sistema de Gestión de Seguridad de la Información dentro del alcance específico consignado en su certificado. En consecuencia, la sola exigencia de que el certificado pertenezca al oferente no permite determinar que dicho alcance comprenda efectivamente el desarrollo, alojamiento, operación, administración o soporte de la plataforma tecnológica ofrecida.
Las especificaciones técnicas del llamado permiten implementar la solución mediante una plataforma de administración de dispositivos tipo MDM, Microsoft Intune/Entra ID, un agente del fabricante o una solución técnicamente equivalente. Por tanto, la plataforma puede ser desarrollada, licenciada, alojada u operada por el fabricante, el desarrollador o un proveedor tecnológico especializado, mientras que el oferente puede asumir las funciones de provisión, configuración, implementación, distribución, soporte y coordinación contractual.
En estas condiciones, podría cumplir formalmente el requisito un oferente cuya certificación ISO/IEC 27001 posea un alcance ajeno a la solución ofrecida y, al mismo tiempo, quedar excluido otro oferente que proponga una plataforma respaldada por controles de seguridad adecuados o por una organización certificada, únicamente porque la certificación no fue emitida a nombre del oferente.
Considerando los principios de igualdad y libre competencia y la necesidad de que los requisitos de capacidad técnica guarden relación directa y proporcional con el objeto de la contratación, solicitamos modificar los numerales mencionados de la siguiente manera:
DONDE DICE: “Certificación ISO/IEC 27001:2022: el oferente deberá presentar certificación vigente ISO/IEC 27001, correspondiente al Sistema de Gestión de Seguridad de la Información, emitida por un organismo certificador acreditado.”
DEBE DECIR: “El oferente deberá acreditar la aplicación de medidas adecuadas para la gestión de la seguridad de la información vinculada con la solución de administración remota, geolocalización administrativa, inventario y trazabilidad ofrecida.
El requisito podrá acreditarse mediante uno de los siguientes mecanismos:
a) Certificación vigente ISO/IEC 27001:2022 del oferente, cuyo alcance comprenda actividades relacionadas con la provisión, implementación, administración, operación o soporte de la solución ofrecida; o
b) Certificación vigente ISO/IEC 27001:2022 del fabricante, desarrollador, proveedor, operador o responsable del alojamiento de la plataforma ofrecida, siempre que el alcance del certificado comprenda el desarrollo, provisión, alojamiento, operación, administración o soporte de dicha plataforma; o
c) Presentación de documentación técnica que identifique los controles de seguridad aplicables a la solución ofrecida, acompañada de un plan de gestión de seguridad de la información para la ejecución del contrato y de la designación de un profesional con certificación vigente y reconocida en seguridad de la información, implementación o auditoría de sistemas de gestión conforme a ISO/IEC 27001.
El plan deberá contemplar, como mínimo, la asignación de responsabilidades, gestión de usuarios y perfiles de acceso, protección y minimización de datos, trazabilidad de las acciones administrativas, tratamiento de incidentes, confidencialidad de la información y limitación de su utilización a los fines autorizados por el MEC.
Cuando la certificación o documentación corresponda a un tercero, el oferente deberá identificar la función que dicho tercero cumplirá dentro de la solución y presentar la documentación que acredite la relación comercial, autorización o compromiso aplicable durante la vigencia contractual.”
Consecuentemente, solicitamos que el numeral 8 de “Requisitos documentales para evaluar el criterio de capacidad técnica” sea modificado para admitir cualquiera de los mecanismos de acreditación precedentemente indicados.
La modificación solicitada no reduce las condiciones de seguridad, sino que permite verificar que los controles de protección correspondan a la plataforma que administrará la información durante los 36 meses,
De:
NOLDIN FLORENTIN, EDUARDO ALBERTO
80030218-4 - DATA LAB SA
Consulta:
En relación con la LPN N.º 01/2026 “Adquisición de Notebooks para Institutos de Formación Docente” – ID N.º 491680, solicitamos respetuosamente a la Convocante revisar el requisito establecido en la sección “Requisitos de participación y criterios de evaluación – Capacidad Técnica”, numeral 8, mediante el cual se exige que el oferente presente una certificación vigente ISO/IEC 27001:2022, emitida por un organismo certificador acreditado.
El mismo requisito se encuentra reproducido en el numeral 8 de “Requisitos documentales para evaluar el criterio de capacidad técnica”.
Comprendemos y compartimos la necesidad de garantizar la seguridad, confidencialidad, integridad y disponibilidad de la información relacionada con la solución de administración remota, geolocalización administrativa, inventario y trazabilidad requerida por la Convocante.
No obstante, la certificación ISO/IEC 27001:2022 acredita que una organización cuenta con un Sistema de Gestión de Seguridad de la Información dentro del alcance específico consignado en su certificado. En consecuencia, la sola exigencia de que el certificado pertenezca al oferente no permite determinar que dicho alcance comprenda efectivamente el desarrollo, alojamiento, operación, administración o soporte de la plataforma tecnológica ofrecida.
Las especificaciones técnicas del llamado permiten implementar la solución mediante una plataforma de administración de dispositivos tipo MDM, Microsoft Intune/Entra ID, un agente del fabricante o una solución técnicamente equivalente. Por tanto, la plataforma puede ser desarrollada, licenciada, alojada u operada por el fabricante, el desarrollador o un proveedor tecnológico especializado, mientras que el oferente puede asumir las funciones de provisión, configuración, implementación, distribución, soporte y coordinación contractual.
En estas condiciones, podría cumplir formalmente el requisito un oferente cuya certificación ISO/IEC 27001 posea un alcance ajeno a la solución ofrecida y, al mismo tiempo, quedar excluido otro oferente que proponga una plataforma respaldada por controles de seguridad adecuados o por una organización certificada, únicamente porque la certificación no fue emitida a nombre del oferente.
Considerando los principios de igualdad y libre competencia y la necesidad de que los requisitos de capacidad técnica guarden relación directa y proporcional con el objeto de la contratación, solicitamos modificar los numerales mencionados de la siguiente manera:
DONDE DICE: “Certificación ISO/IEC 27001:2022: el oferente deberá presentar certificación vigente ISO/IEC 27001, correspondiente al Sistema de Gestión de Seguridad de la Información, emitida por un organismo certificador acreditado.”
DEBE DECIR: “El oferente deberá acreditar la aplicación de medidas adecuadas para la gestión de la seguridad de la información vinculada con la solución de administración remota, geolocalización administrativa, inventario y trazabilidad ofrecida.
El requisito podrá acreditarse mediante uno de los siguientes mecanismos:
a) Certificación vigente ISO/IEC 27001:2022 del oferente, cuyo alcance comprenda actividades relacionadas con la provisión, implementación, administración, operación o soporte de la solución ofrecida; o
b) Certificación vigente ISO/IEC 27001:2022 del fabricante, desarrollador, proveedor, operador o responsable del alojamiento de la plataforma ofrecida, siempre que el alcance del certificado comprenda el desarrollo, provisión, alojamiento, operación, administración o soporte de dicha plataforma; o
c) Presentación de documentación técnica que identifique los controles de seguridad aplicables a la solución ofrecida, acompañada de un plan de gestión de seguridad de la información para la ejecución del contrato y de la designación de un profesional con certificación vigente y reconocida en seguridad de la información, implementación o auditoría de sistemas de gestión conforme a ISO/IEC 27001.
El plan deberá contemplar, como mínimo, la asignación de responsabilidades, gestión de usuarios y perfiles de acceso, protección y minimización de datos, trazabilidad de las acciones administrativas, tratamiento de incidentes, confidencialidad de la información y limitación de su utilización a los fines autorizados por el MEC.
Cuando la certificación o documentación corresponda a un tercero, el oferente deberá identificar la función que dicho tercero cumplirá dentro de la solución y presentar la documentación que acredite la relación comercial, autorización o compromiso aplicable durante la vigencia contractual.”
Consecuentemente, solicitamos que el numeral 8 de “Requisitos documentales para evaluar el criterio de capacidad técnica” sea modificado para admitir cualquiera de los mecanismos de acreditación precedentemente indicados.
La modificación solicitada no reduce las condiciones de seguridad, sino que permite verificar que los controles de protección correspondan a la plataforma que administrará la información durante los 36 meses,