Dnia 28 sierpnia 2018 r. weszła w życie ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, która m.in. zaktualizowała przepis art. 89 ust. 1 pkt 7d ustawy – Prawo zamówień publicznych, określający jedną z przesłanek odrzucenia oferty przez zamawiającego w toku postępowania o udzielenie zamówienia publicznego.

Zgodnie z treścią nowelizowanego przepisu, zamawiający odrzuca ofertę, jeżeli jej przyjęcie naruszałoby bezpieczeństwo publiczne lub istotny interes bezpieczeństwa państwa, w tym bezpieczeństwo podmiotów objętych jednolitym wykazem obiektów, instalacji, urządzeń i usług wchodzących w skład infrastruktury krytycznej, o której mowa w art. 5b ust. 7 pkt 1 ustawy z dnia 26 kwietnia 2007 r. o zarządzaniu kryzysowym (Dz. U. z 2018 r. poz. 1401), a tego bezpieczeństwa lub interesu nie można zagwarantować w inny sposób.

Wykaz obiektów, instalacji, urządzeń i usług wchodzących w skład infrastruktury krytycznej sporządza Dyrektor Rządowego Centrum Bezpieczeństwa i jest on niejawny. Zamawiający są jednak informowani o dodaniu w niniejszym wykazie urządzeń, instalacji lub obiektów, których są właścicielami, posiadaczami samoistnymi lub zależnymi.

Z uwagi na fakt, że ustawa o krajowym systemie cyberbezpieczeństwa nie wprowadza przepisów przejściowych, w postępowaniach o udzielenie zamówienia publicznego nierozstrzygniętych do dnia 28 sierpnia 2018 r., zamawiający są zobowiązani do dokonywania oceny ofert zgodnie ze znowelizowaną treścią art. 89 ust. 1 pkt 7d ustawy – Prawo zamówień publicznych.