Regelverket, og hvordan vi følger det
Hvert krav en anbudsplattform for offentlige oppdragsgivere må følge, med hjemmel og hvordan det er løst her. Statusen er ærlig: det som ikke er bygd, står som ikke bygd. Paragrafene er lest i Lovdata slik de gjaldt 4. oktober 2026.
Første utgave er laget for konkurranser under EØS-terskel.
Over terskel mangler Doffin- og TED-kunngjøring, ESPD og meddelelse om valg.
Forsegling, frister og sporbarhet
Kjernen i et konkurranseverktøy: ingen skal kunne lese et tilbud før fristen, og alt skal kunne etterprøves.
| Hjemmel | Kravet | Slik er det løst | Status |
|---|---|---|---|
| FOA § 22-3 (1) | Tilbud skal holdes fortrolige og beskyttes mot endringer og uautorisert innsyn under overføring og lagring. | Tilbudet krypteres i leverandørens nettleser (AES-256-GCM) før det sendes. Serveren lagrer bare chiffertekst og har ikke nøkkelen. GCM gjør at en endret chiffertekst ikke lar seg dekryptere, og sha256 av chifferteksten står i kvitteringen og i loggen. | Løst |
| FOA § 22-3 (2) | Ingen skal ha tilgang til innholdet i tilbudene før fristen er ute. | Låsen har to deler. Kjøperen har nøkkelen, laget i egen nettleser og beskyttet av en åpningskode vi aldri mottar. Vi har chifferteksten og utleverer den ikke før serverens klokke har passert fristen. Ingen har begge delene før fristen: kjøperen mangler chifferteksten, og vi mangler nøkkelen også etterpå. | Løst |
| FOA § 22-3 (2) og (3) | Bare autoriserte personer skal kunne fastsette eller endre åpningstidspunktet, og bare autoriserte skal ha tilgang til tilbudene. | Bare den som publiserte utlysningen, kan forlenge fristen og åpne tilbudene, og bare med åpningskoden. Fristen kan aldri kortes ned og aldri endres etter at den er ute. Hver endring står i loggen. Flere åpnere per virksomhet gjenstår. | Delvis |
| FOA § 22-3 (4) | Tidspunktet for mottak og åpning skal kunne fastslås nøyaktig. | Serverens klokke stempler mottak og åpning på sekundet. Leverandøren får en signert kvittering med tidspunkt og sha256. Kvalifisert tidsstempel fra en ekstern tjeneste (eIDAS) gjenstår. | Delvis |
| FOA § 22-3 (5) | Brudd og forsøk på brudd på reglene skal klart kunne spores. | Alt skrives til en logg der hver rad bærer hashen av raden før. En rad kan ikke endres eller fjernes uten at kjeden ryker, og kjeden kan kontrolleres av alle gjennom API-et. Forsøk på åpning før fristen og innlevering etter fristen logges som egne hendelser. | Løst |
| FOA § 24-1 | Tilbud som kommer etter fristen, skal avvises. | Serveren tar ikke imot tilbud etter fristen, på sekundet. Avvisningen logges. Leverandøren får kvittering med en gang tilbudet er mottatt. | Løst |
| FOA § 22-2 | Verktøyet skal være ikke-diskriminerende, alminnelig tilgjengelig og virke med vanlig IKT. Opplysninger om kryptering og tidsstempling skal være tilgjengelige for alle leverandører. | Gratis for leverandører, ingen programvare utover en oppdatert nettleser. Siden «Slik virker låsen» beskriver krypteringen og tidsstemplingen åpent, og koden som forsegler, er én liten fil alle kan lese. | Løst |
Åpenhet og lik tilgang
Alle leverandører skal få samme opplysninger, samtidig og gratis.
| Hjemmel | Kravet | Slik er det løst | Status |
|---|---|---|---|
| FOA § 14-3 (del III) | Gratis, direkte og ubegrenset elektronisk tilgang til konkurransegrunnlaget, på en adresse som står i kunngjøringen. | Utlysning, krav og dokumenter er åpne uten konto og uten innlogging, på nett og i API-et. Adressen er fast og kan stå i kunngjøringen. | Løst |
| FOA § 22-5 | Det kan ikke kreves e-ID eller e-signatur for å se konkurransegrunnlaget. Ved innlevering kan det kreves, men ikke strengere enn risikoen tilsier. | Lesing krever ingenting. Innlevering krever innlogging med e-postlenke. BankID eller e-signatur ved innlevering er ikke bygd. | Løst |
| FOA § 22-1 | All kommunikasjon mellom oppdragsgiver og leverandører skal være skriftlig og elektronisk. | Spørsmål stilles på plattformen. Svaret publiseres for alle samtidig, sammen med spørsmålet og uten avsender. Rettelser publiseres på samme måte. | Løst |
| LOA § 4 | Konkurranse, likebehandling, forutberegnelighet, etterprøvbarhet og forholdsmessighet. | Kravene låses ved publisering, og hashen av kravfila står i loggen og i hvert tilbud. Alle svarer på samme matrise. Endringer går som rettelser til alle. Loggen gjør prosessen etterprøvbar. | Løst |
| FOA § 7-4, forvaltningsloven § 13 | Taushetsplikt om forretningsforhold. Opplysningene kan ikke utnyttes i egen virksomhet. | Vi kan ikke lese tilbudene. Hvem som har levert, lagres ikke i klartekst: tilbudet peker ikke på en bruker, og leverandørens navn ligger inne i chifferteksten. Antall tilbud vises ikke for noen før fristen. Innloggingen svarer likt for kjent og ukjent adresse. | Løst |
Kunngjøring og terskelverdier
Verdien avgjør hvilke regler som gjelder. Plattformen regner den ut og sier fra.
| Hjemmel | Kravet | Slik er det løst | Status |
|---|---|---|---|
| LOA § 2, FOA § 1-1 | Regelverket gjelder kontrakter fra 500 000 kr eks. mva. (hevet fra 100 000 kr 1. juli 2026). | Veiviseren viser hvilket regelsett verdien gir. Under 500 000 kr kan plattformen brukes fritt. | Løst |
| FOA § 5-1 og § 8-17 | Fra 1,3 mill. kr skal konkurransen kunngjøres på Doffin. | Plattformen kan ikke sende kunngjøringer til Doffin ennå: det krever tilgang til DFØs Notices API. Til da kunngjør oppdragsgiveren i sitt eget verktøy og peker hit. Utlysningen kan ikke publiseres uten Doffin-lenken. | Gjenstår |
| FOA § 5-3 | EØS-terskler fra 21. april 2026: 1,63 mill. kr (stat), 2,5 mill. kr (andre), 62,9 mill. kr (bygg og anlegg). Over terskel gjelder del III og kunngjøring i TED. | Plattformen merker utlysningen med del III over 2,5 mill. kr og krever 30 dagers frist. ESPD, TED-kunngjøring og resten av del III er ikke bygd: første utgave er laget for konkurranser under EØS-terskel. | Gjenstår |
| FOA § 21-1 | Over EØS-terskel skal kunngjøringen ikke gjøres kjent andre steder før TED har publisert den. | Ikke bygd. Hører til Doffin-integrasjonen. | Gjenstår |
| FOA § 8-14 og § 20-2 | Fristen skal ta hensyn til kompleksiteten. Over EØS-terskel er minstefristen 30 dager i åpen anbudskonkurranse. | Plattformen krever minst ett døgn, og 30 dager over EØS-terskel. Om fristen er rimelig under terskel, er oppdragsgiverens vurdering. | Delvis |
Krav og kriterier
Det oppdragsgiveren spør om, og hvordan tilbudene vurderes.
| Hjemmel | Kravet | Slik er det løst | Status |
|---|---|---|---|
| LOA § 5b | Klima og miljø skal vektes minst 30 % der kriteriene vektes, eller være blant de tre høyest prioriterte. Unntak må begrunnes. | Kriterier kan merkes som klima og miljø. I kunngjøringspliktige konkurranser stopper plattformen publisering hvis vekten er under 30 %, eller vektene ikke blir 100 % til sammen. | Løst |
| FOA § 8-6 og § 15-3 | Krav om en bestemt merkeordning må godta tilsvarende merker og annen egnet dokumentasjon. | AI-forslaget og prompten skriver aldri et bestemt merke eller sertifikat uten «eller tilsvarende». Plattformen foreslår ikke Envirocert som dokumentasjon. | Løst |
| FOA § 17-1 og § 8-10 | Over EØS-terskel skal ESPD brukes. Under terskel kan egenerklæring kreves. | Kvalifikasjonskrav besvares i svarmatrisen. ESPD i standardformat er ikke bygd. | Gjenstår |
| LOA §§ 5e–5l | Faste kontraktsvilkår: lønns- og arbeidsvilkår, lærlinger, maks to ledd i kjeden i bygg, anlegg og renhold, og skatteattest fra valgt leverandør. | Legges inn som krav av oppdragsgiveren. Ferdige maler per bransje gjenstår. | Kjøperens ansvar |
Evaluering, tildeling og arkiv
Det som skjer etter åpning. Plattformen legger til rette; beslutningene er oppdragsgiverens.
| Hjemmel | Kravet | Slik er det løst | Status |
|---|---|---|---|
| FOA § 7-5, forvaltningsloven §§ 6–10 | Habilitet. Oppdragsgiveren skal forebygge, identifisere og avhjelpe inhabilitet. | Plattformen vurderer ikke tilbud og anbefaler ingen vinner. Silingen er mekanisk og lik for alle: den viser bare hva som mangler. Vi driver ikke rådgivning til leverandører i en konkurranse vi har hjulpet oppdragsgiveren med. | Kjøperens ansvar |
| FOA § 10-1 og § 10-2 | Alle berørte leverandører skal få skriftlig og samtidig meddelelse om valget, med begrunnelse og karensperiode. | Ikke bygd. Oppdragsgiveren sender meddelelsen selv. Kontaktopplysningene ligger i de åpnede tilbudene. | Gjenstår |
| FOA § 7-1 og § 10-5 | Vesentlige beslutninger skal dokumenteres, og det skal føres protokoll. Dokumentasjonen oppbevares i minst tre år over EØS-terskel. | Loggen er protokollens tidslinje og kan lastes ned som JSON. Svarmatrisen kan lastes ned som CSV og tilbudene som JSON. Selve anskaffelsesprotokollen skriver oppdragsgiveren. | Delvis |
| Arkivlova §§ 5, 7 og 10 | Dokumentasjonen er oppdragsgiverens arkiv og skal kunne overføres dit. | Oppdragsgiveren laster ned utlysning, logg og dekrypterte tilbud til eget sak- og arkivsystem. Fordi vi ikke kan lese tilbudene, kan bare oppdragsgiveren arkivere dem i klartekst. Eksport i Noark-format gjenstår. | Delvis |
| Offentleglova § 23 tredje ledd | Tilbud og protokoll kan unntas fra innsyn til valget av leverandør er gjort. | Innsynskrav behandles av oppdragsgiveren. Vi kan ikke utlevere tilbud, fordi vi ikke kan lese dem. | Kjøperens ansvar |
Rammeavtaler og avrop
En rammeavtale kvalifiserer én eller noen få leverandører. Etterpå bestiller kjøperen hos dem uten ny utlysning.
| Hjemmel | Kravet | Slik er det løst | Status |
|---|---|---|---|
| FOA § 26-1 (del III), § 11-1 (del II) | En rammeavtale kan inngås med én eller flere leverandører, og kan som hovedregel ikke vare lenger enn fire år. Den kan bare brukes mellom de opprinnelige partene. | Kjøperen legger inn avtalen med leverandørene, enten etter en konkurranse her eller direkte for en avtale som alt finnes. Plattformen avviser en varighet over fire år. At ingen nye leverandører tas inn underveis, er kjøperens ansvar: funksjonen for å legge til en leverandør er ment for å rette en kontakt. | Delvis |
| FOA § 26-2 og § 26-3 | Avrop gjøres etter vilkårene i avtalen. Er ikke alle vilkår fastsatt, skal leverandørene i avtalen konkurrere på nytt (minikonkurranse). | To veier: en bestilling rett til én leverandør, som bekrefter eller avslår, og en minikonkurranse. Hvilken vei som gjelder, står på avtalen. | Løst |
| FOA § 26-3 | I en minikonkurranse skal alle leverandørene som kan utføre oppdraget, spørres skriftlig, få tilstrekkelig frist, og tilbudene skal holdes fortrolige til fristen. | En minikonkurranse er en vanlig utlysning som bare avtalens leverandører får se. Alle får e-post samtidig. Tilbudene forsegles og åpnes ved fristen, med samme lås og samme logg som i en åpen konkurranse. | Løst |
| FOA § 22-3 og § 7-4 | Hvem som har levert tilbud, skal ikke være kjent før fristen. | Plattformen vet ikke hvem som vant en konkurranse: tilbudene er forseglet. Leverandørene i en rammeavtale blir først kjent for oss når kjøperen selv legger dem inn etter tildeling. | Løst |
Bedrifts- og privatmarkedet
Når en bedrift eller privatperson ber om tilbud, gjelder ikke anskaffelsesregelverket. Her er det personvernet og forbrukervernet som setter kravene.
| Hjemmel | Kravet | Slik er det løst | Status |
|---|---|---|---|
| Markedsføringsloven § 15 | Det er forbudt å rette markedsføring til fysiske personer på e-post, SMS eller lignende uten samtykke. | En privatperson som ber om tilbud, er skjult: bedriftene får verken navn, e-post eller telefon, og kan bare svare gjennom plattformen. Kunden tar selv kontakt med den hen velger. | Løst |
| GDPR art. 5 og 6 | Personopplysninger skal begrenses til det som trengs for formålet. Her er vi selv behandlingsansvarlig. | Mobilnummeret brukes til én ting, å bekrefte at det sitter et menneske der. Vi lagrer ikke nummeret, bare et fingeravtrykk av det. Stedet oppgis som kommune eller postnummer, ikke adresse. Egen personvernerklæring for privatmarkedet gjenstår. | Delvis |
| Håndverkertjenesteloven § 32 | Er det gitt et prisoverslag til en forbruker, kan prisen ikke overstige det vesentlig, og høyst med 15 prosent. | Forespørsler fra privatpersoner ber som standard om fast pris inkludert mva. og om hva som er med i prisen. Avtalen inngås mellom kunden og bedriften, utenfor plattformen. | Kjøperens ansvar |
| Vern mot misbruk | Ikke et lovkrav, men en forutsetning: bedriftene skal ikke få falske forespørsler, og ingen skal kunne tømme SMS-kontoen. | En privatperson må bekrefte både e-post og mobil. Glideren mot roboter står foran innlogging og SMS. Det går høyst 3 koder i timen per bruker og per nummer, 5 per IP-adresse, og 300 i døgnet for hele plattformen. | Løst |
Personvern og tilgjengelighet
Kravene som gjelder all digital tjenesteyting til offentlig sektor.
| Hjemmel | Kravet | Slik er det løst | Status |
|---|---|---|---|
| GDPR art. 28 | Oppdragsgiveren er behandlingsansvarlig, verktøyet er databehandler. Databehandleravtale skal være på plass før bruk. | Standard databehandleravtale er ikke skrevet ennå. Vi bruker ikke opplysninger om hvem som leser eller svarer på en konkurranse til salg eller annet. | Gjenstår |
| Uu-forskriften § 4b | Nettløsninger for offentlige virksomheter skal følge WCAG 2.1 AA og ha tilgjengelighetserklæring. | Sidene er bygd med semantisk HTML, etiketter på alle felt, synlig fokus og tastaturnavigasjon. En revisjon mot WCAG 2.1 AA og en tilgjengelighetserklæring gjenstår. | Delvis |