Expediente: DEMA-2026-027
Adquisición e Instalación de licencias de software para
herramientas de ciberseguridad destinadas a evaluar el estado de
seguridad de los sistemas de información y comunicación de los
organismos gubernamentales ucranianos, mediante análisis de
vulnerabilidades y pruebas de penetración.
Código interno FIAP 253500 Cybersecurity Ukraine
FAQ’s- ESPAÑOL
S
A
C
DEMA-2026-027 – NOTA ACLARATORIA SOBRE GARANTÍAS
IL
B
Ú 1. ¿El adjudicatario está obligado a mantener la garantía definitiva del 10% durante todo el periodo
P
S
de ejecución del contrato? ¿Cómo se aplica según la forma de garantía elegida?
E
N Sí. La garantía definitiva debe mantenerse vigente durante todo el periodo de ejecución del contrato y hasta
O la completa extinción de las obligaciones contractuales, incluida su recepción conforme y, en su caso, el
I
C
periodo de garantía previsto en los pliegos - tal y como establece el CCP el plazo de garantía abarca durante
A
R la ejecución del contrato y, en su caso, sus prórrogas.
T
S
I De conformidad con la Ley 9/2017, de Contratos del Sector Público (LCSP), artículos 106 y siguientes, la
N
IM garantía definitiva tiene por finalidad asegurar el correcto cumplimiento del contrato.
D
A En el presente procedimiento, el adjudicatario deberá constituir una garantía definitiva equivalente al 5%
S del precio de adjudicación, excluido el IVA. Asimismo, de conformidad con lo previsto en el Pliego de
A
L Cláusulas Administrativas Particulares, se exige una garantía complementaria del 5%, por lo que el importe
E total de las garantías a constituir asciende al 10% del precio de adjudicación, sin IVA.
D
N 1. Naturaleza del porcentaje
Ó
I
C El 10% hace referencia exclusivamente al importe de la garantía, no a su forma de constitución ni implica
A
Z inmovilización económica en todos los casos.
IL
A
2. Formas admitidas de constitución de la garantía
N
O
I C De conformidad con la LCSP, la garantía definitiva podrá constituirse mediante cualquiera de las siguientes
A modalidades:
N
R
E • Depósito en efectivo.
T
N
I
A
• Valores de deuda pública.
L
A • Aval prestado por entidad de crédito.
R
A
P • Seguro de caución.
N
Ó
3. Equivalencia del importe según modalidad
I
C
A
D En todos los casos, la garantía deberá alcanzar el importe equivalente al 10% del precio de adjudicación,
N con las siguientes implicaciones:
U
F
• Efectivo: el importe queda depositado y retenido durante la vigencia de la garantía.
• Valores de deuda pública: los valores quedan inmovilizados durante el periodo de garantía.
• Aval bancario: una entidad de crédito garantiza el importe sin necesidad de inmovilización de
fondos por parte del contratista.
• Seguro de caución: una entidad aseguradora garantiza el importe sin inmovilización de fondos
por parte del contratista.
Página 1 de 8
V2_2026-01-23
Expediente: DEMA-2026-027
Adquisición e Instalación de licencias de software para
herramientas de ciberseguridad destinadas a evaluar el estado de
seguridad de los sistemas de información y comunicación de los
organismos gubernamentales ucranianos, mediante análisis de
vulnerabilidades y pruebas de penetración.
Código interno FIAP 253500 Cybersecurity Ukraine
• retención en factura: cuando esté prevista en los pliegos, la garantía podrá constituirse mediante
retenciones practicadas sobre las facturas, hasta completar el importe de la garantía definitiva, de
S
A conformidad con el artículo 108 de la LCSP.
C
IL
4. Duración de la garantía
B
Ú
P La garantía deberá mantenerse vigente durante todo el periodo de ejecución del contrato (36 meses) y
S hasta la correcta finalización de las obligaciones contractuales.
E
N
O 2. ¿Se acepta una garantía emitida por un banco ucraniano a favor de una entidad jurídica
I C ucraniana?
A
R
La LCSP no establece una lista cerrada de entidades financieras admisibles.
T
S
I N La admisión de cualquier garantía depende de su validez jurídica, suficiencia y capacidad de ejecución
IM
efectiva en el marco del contrato.
D
A
En consecuencia, una garantía bancaria emitida por una entidad ucraniana podrá ser aceptada siempre
S
A que:
L
E • Sea jurídicamente válida.
D
N
Ó • Sea verificable.
I
C
A • Permita su ejecución efectiva en caso de incumplimiento contractual.
Z
IL
A • Cumpla los requisitos establecidos en la LCSP y en los pliegos.
N
O
I La valoración de su suficiencia corresponde al órgano de contratación en el momento de su presentación.
C
A
N
R
E
T 3. ¿Existe una lista de bancos o entidades financieras cuyas garantías sean aceptadas por FIAP?
N
I
A No existe en la LCSP una lista cerrada o predeterminada de entidades financieras cuyos avales deban ser
L obligatoriamente aceptados.
A
R
A La admisión de la garantía depende exclusivamente de su validez jurídica, suficiencia y capacidad de
P ejecución efectiva, conforme a la LCSP y a los pliegos del procedimiento.
N
Ó
En consecuencia, cualquier garantía podrá ser aceptada si cumple los requisitos legales y permite asegurar
I
C
A de forma efectiva el cumplimiento del contrato.
D
N
U
F
4. ¿Existen requisitos específicos sobre el formato o contenido de la garantía para contratistas y
bancos ucranianos?
La LCSP no establece requisitos específicos en función de la nacionalidad del contratista o de la entidad
emisora de la garantía.
Las garantías deberán ajustarse a lo establecido en la normativa aplicable y en los pliegos del contrato.
Con carácter general, toda garantía deberá:
• Identificar claramente al contratista y al órgano de contratación.
Página 2 de 8
V2_2026-01-23
Expediente: DEMA-2026-027
Adquisición e Instalación de licencias de software para
herramientas de ciberseguridad destinadas a evaluar el estado de
seguridad de los sistemas de información y comunicación de los
organismos gubernamentales ucranianos, mediante análisis de
vulnerabilidades y pruebas de penetración.
Código interno FIAP 253500 Cybersecurity Ukraine
• Indicar el importe garantizado.
S • Cubrir el cumplimiento de las obligaciones contractuales.
A
C
IL • Ser válida y verificable.
B
Ú
P • Permitir su ejecución efectiva en caso de incumplimiento.
S
E
N • Mantener vigencia durante el periodo exigido en el contrato.
O
I
C En el caso de garantías emitidas por entidades extranjeras, estas deberán garantizar un nivel de
A
R ejecutabilidad equivalente al exigido en el marco de la contratación pública española.
T
S
I
N
IM
5. Sobre garantías bancarias en Ucrania (garantía irrevocable e incondicional)
D
A
S
Las garantías bancarias emitidas por entidades extranjeras son admisibles en el marco de la LCSP siempre
A que cumplan los requisitos establecidos en los pliegos y en la normativa aplicable.
L
E En consecuencia, una garantía bancaria emitida por una entidad ucraniana podrá ser aceptada siempre
D
que:
N
Ó
I C • Sea irrevocable.
A
Z
IL • Garantice de forma efectiva el cumplimiento de las obligaciones contractuales.
A
N
O • Permita su ejecución por el órgano de contratación en caso de incumplimiento.
I
C
A • Identifique claramente el contrato y el importe garantizado.
N
R
E • Sea jurídicamente válida y verificable.
T
N
I
A
La admisión definitiva de la garantía quedará condicionada a su revisión por el órgano de contratación, que
L verificará su adecuación a la LCSP y a los pliegos del contrato.
A
R
A
P
Pregunta 6.
N
Ó
I
C
A “Buenos días,
D
N
U En relación con el dimensionamiento de las herramientas de análisis de vulnerabilidades, se solicita
F aclaración sobre el número estimado de activos que deberán gestionarse:
• Número de aplicaciones web que serán auditadas (equivalente a licencias tipo Acunetix).
• Número de endpoints/IP que serán escaneados (equivalente a herramientas tipo Nessus).
Con el objetivo de garantizar una propuesta homogénea y comparable entre los licitadores y asegurar que
la herramienta se dimensione correctamente.
Gracias, un saludo.”
• Respuesta sobre las licencias equivalentes de tipo Acunetix:
Página 3 de 8
V2_2026-01-23
Expediente: DEMA-2026-027
Adquisición e Instalación de licencias de software para
herramientas de ciberseguridad destinadas a evaluar el estado de
seguridad de los sistemas de información y comunicación de los
organismos gubernamentales ucranianos, mediante análisis de
vulnerabilidades y pruebas de penetración.
Código interno FIAP 253500 Cybersecurity Ukraine
De acuerdo con las Especificaciones Técnicas, la herramienta requerida se utilizará para la auditoría de
seguridad y la inspección técnica de diversas infraestructuras. Por lo tanto, cualquier herramienta propuesta
S como equivalente a Acunetix On Premise Premium Enterprise deberá, durante todo el período del
A
C contrato (36 meses), cumplir estrictamente los siguientes requisitos de licencia:
IL
B La licencia equivalente deberá permitir el escaneo de un número ilimitado de aplicaciones web y no deberá
Ú
P estar limitada por el número de escaneos ni por el número de motores de escaneo que puedan operar en
S paralelo.
E
N
O Teniendo en cuenta los requisitos operativos del usuario final, la solución propuesta deberá garantizar la
I C conservación de los datos históricos acumulados durante los años anteriores de uso de Acunetix On
A Premise Premium Enterprise, incluidos los resultados de los escaneos, las vulnerabilidades identificadas,
R
T su análisis, los niveles de severidad y la priorización.
S
I
N Dado que cada solución de escaneo de vulnerabilidades de aplicaciones web aplica su propia lógica para
IM
el análisis, la clasificación y la priorización de vulnerabilidades, cualquier solución equivalente deberá
D
A proporcionar la capacidad de importar datos desde Acunetix On Premise Premium Enterprise,
S preservando la metodología original de evaluación de riesgos del fabricante para los escaneos futuros.
A
Cualquier solución de sustitución no deberá dar lugar a la distorsión de las tendencias históricas, a una
L
E comparación inexacta de los resultados de los escaneos ni a una representación incorrecta de los informes
D de seguridad relativos a los activos web.
N
Ó
• Respuesta sobre las herramientas equivalentes de tipo Nessus:
I
C
A
Z De acuerdo con las Especificaciones Técnicas, la herramienta requerida se utilizará para la auditoría de
IL seguridad y la inspección técnica de diversas infraestructuras. Por lo tanto, cualquier herramienta propuesta
A
N como equivalente a Nessus Vulnerability Scanner Annual deberá cumplir estrictamente los siguientes
O requisitos de licencia:
I
C
A La licencia equivalente deberá permitir el escaneo de un número ilimitado de direcciones IP (hosts/nodos)
N
R durante todo el período del contrato (36 meses). El modelo de licencia no deberá estar limitado por, ni
E
vinculado al, volumen, tamaño o número de activos dentro de las redes externas sujetas a evaluación de
T
N seguridad.
I
A
L La consola de gestión de la solución deberá admitir un despliegue on-premises dentro de la infraestructura
A del cliente y deberá ser capaz de operar plenamente en un entorno aislado de Internet.
R
A
P
N
Ó Pregunta 7 :
I
C
A “Buenos días,
D
N
U Se solicita amablemente aclarar si, para el presente proyecto, es necesario incluir la certificación del
F
Esquema Nacional de Seguridad (ENS) o, por el contrario, si no es necesaria.
Muchas gracias.”
• Respuesta:
No, la certificación ENS no es necesaria para este proyecto, teniendo en cuenta que el usuario final de las
herramientas de escaneo de vulnerabilidades es una autoridad pública ucraniana (el Servicio Estatal de
Comunicaciones Especiales y Protección de la Información de Ucrania – SSSCIP), y que la documentación
de la contratación especifica que las licencias se desplegarán on-premises en Ucrania, fuera de la red del
Gobierno de España.
Página 4 de 8
V2_2026-01-23
Expediente: DEMA-2026-027
Adquisición e Instalación de licencias de software para
herramientas de ciberseguridad destinadas a evaluar el estado de
seguridad de los sistemas de información y comunicación de los
organismos gubernamentales ucranianos, mediante análisis de
vulnerabilidades y pruebas de penetración.
Código interno FIAP 253500 Cybersecurity Ukraine
S Below is a literal, faithful English translation preserving the structure and content as closely as possible.
A
C
IL
B
Ú
P
S FAQs – ENGLISH
E
N
O DEMA-2026-027 – CLARIFICATION NOTE ON GUARANTEES
I
C
A
R
T
S 1. Is the successful bidder required to maintain the final guarantee of 10% throughout the entire
I
N contract execution period? How does this apply depending on the chosen form of guarantee?
IM
D Yes. The final guarantee must remain in force throughout the entire contract execution period and until the
A
S
complete discharge of the contractual obligations, including formal acceptance and, where applicable, the
A warranty period provided for in the procurement documents—as established by the CCP, the guarantee
L period covers the execution of the contract and, where applicable, its extensions.
E
D
In accordance with Law 9/2017 on Public Sector Contracts (LCSP), Articles 106 et seq., the purpose of the
N
Ó final guarantee is to ensure the proper performance of the contract.
I
C
A In this procurement procedure, the successful bidder shall provide a final guarantee equivalent to 5% of the
Z
IL contract award price, excluding VAT. Likewise, in accordance with the Particular Administrative Clauses, an
A additional guarantee of 5% is required; therefore, the total amount of the guarantees to be provided is 10%
N
O of the contract award price, excluding VAT.
I
C
A 1. Nature of the percentage
N
R The 10% refers exclusively to the amount of the guarantee. It does not refer to the method by which the
E
T guarantee is provided, nor does it imply the immobilization of funds in all cases.
N
I
A 2. Permitted forms of the guarantee
L
A In accordance with the LCSP, the final guarantee may be provided by any of the following means:
R
A
P • Cash deposit.
N
Ó
I • Public debt securities.
C
A
D • Bank guarantee issued by a credit institution.
N
U
F • Surety bond insurance.
3. Equivalent amount depending on the type of guarantee
In all cases, the guarantee must amount to the equivalent of 10% of the contract award price, with the
following implications:
• Cash: the amount is deposited and retained for the duration of the guarantee.
• Public debt securities: the securities remain blocked during the guarantee period.
• Bank guarantee: a credit institution guarantees the amount without requiring the contractor to
immobilize funds.
Página 5 de 8
V2_2026-01-23
Expediente: DEMA-2026-027
Adquisición e Instalación de licencias de software para
herramientas de ciberseguridad destinadas a evaluar el estado de
seguridad de los sistemas de información y comunicación de los
organismos gubernamentales ucranianos, mediante análisis de
vulnerabilidades y pruebas de penetración.
Código interno FIAP 253500 Cybersecurity Ukraine
• Surety bond insurance: an insurance company guarantees the amount without requiring the
contractor to immobilize funds.
S
A
C • Retention from invoices: where provided for in the procurement documents, the guarantee may
IL
be constituted through deductions made from invoices until the amount of the final guarantee is
B
Ú reached, in accordance with Article 108 of the LCSP.
P
S 4. Duration of the guarantee
E
N
O The guarantee must remain valid throughout the entire contract execution period (36 months) and until the
I C proper completion of the contractual obligations.
A
R
T
S
I N 2. Is a guarantee issued by a Ukrainian bank in favour of a Ukrainian legal entity accepted?
IM
D The LCSP does not establish a closed list of admissible financial institutions.
A
S The acceptance of any guarantee depends on its legal validity, sufficiency, and enforceability within the
A
L framework of the contract.
E
D Accordingly, a bank guarantee issued by a Ukrainian institution may be accepted provided that it:
N
Ó
• Is legally valid.
I
C
A
Z • Is verifiable.
IL
A
N • Allows effective enforcement in the event of contractual breach.
O
I C • Complies with the requirements established in the LCSP and in the procurement documents.
A
N
R The assessment of its sufficiency corresponds to the contracting authority at the time it is submitted.
E
T
N
I
A 3. Is there a list of banks or financial institutions whose guarantees are accepted by FIAP?
L
A
R The LCSP does not contain a closed or predetermined list of financial institutions whose guarantees must
A necessarily be accepted.
P
N
Ó The acceptance of the guarantee depends exclusively on its legal validity, sufficiency, and enforceability, in
I C accordance with the LCSP and the procurement documents.
A
D Accordingly, any guarantee may be accepted if it complies with the legal requirements and effectively
N
U ensures the performance of the contract.
F
4. Are there any specific requirements regarding the format or content of the guarantee for Ukrainian
contractors and banks?
The LCSP does not establish specific requirements based on the nationality of the contractor or the
institution issuing the guarantee.
The guarantees must comply with the applicable legislation and with the procurement documents.
As a general rule, every guarantee must:
Página 6 de 8
V2_2026-01-23
Expediente: DEMA-2026-027
Adquisición e Instalación de licencias de software para
herramientas de ciberseguridad destinadas a evaluar el estado de
seguridad de los sistemas de información y comunicación de los
organismos gubernamentales ucranianos, mediante análisis de
vulnerabilidades y pruebas de penetración.
Código interno FIAP 253500 Cybersecurity Ukraine
• Clearly identify the contractor and the contracting authority.
S • State the guaranteed amount.
A
C
IL • Cover the performance of the contractual obligations.
B
Ú
P • Be legally valid and verifiable.
S
E • Allow effective enforcement in the event of default.
N
O
I C • Remain valid for the period required under the contract.
A
R
In the case of guarantees issued by foreign institutions, they must provide a level of enforceability equivalent
T
S to that required under the Spanish public procurement framework.
I
N
IM
D
A 5. Regarding bank guarantees in Ukraine (irrevocable and unconditional guarantee)
S
A
L Bank guarantees issued by foreign institutions are admissible under the LCSP provided that they comply
E with the requirements established in the procurement documents and the applicable legislation.
D
N Accordingly, a bank guarantee issued by a Ukrainian institution may be accepted provided that it:
Ó
I
C
A • Is irrevocable.
Z
IL
• Effectively guarantees the performance of the contractual obligations.
A
N
O • Allows enforcement by the contracting authority in the event of contractual breach.
I
C
A
N • Clearly identifies the contract and the guaranteed amount.
R
E • Is legally valid and verifiable.
T
N
I
A
The final acceptance of the guarantee shall be subject to its review by the contracting authority, which will
L verify its compliance with the LCSP and the procurement documents.
A
R
A
P
N Question 6
Ó
I C “Good morning,
A
D
Regarding the sizing of the vulnerability analysis tools, clarification is requested on the estimated number of
N
U assets to be managed:
F
• Number of web applications to be audited (equivalent to Acunetix-type licences).
• Number of endpoints/IP addresses to be scanned (equivalent to Nessus-type tools).
In order to ensure a homogeneous and comparable proposal among bidders and to ensure that the tool is
correctly sized.
Thank you. Kind regards.”
• Response regarding Acunetix-type equivalent licences:
Página 7 de 8
V2_2026-01-23
Expediente: DEMA-2026-027
Adquisición e Instalación de licencias de software para
herramientas de ciberseguridad destinadas a evaluar el estado de
seguridad de los sistemas de información y comunicación de los
organismos gubernamentales ucranianos, mediante análisis de
vulnerabilidades y pruebas de penetración.
Código interno FIAP 253500 Cybersecurity Ukraine
According to the Technical Specifications, the required tool will be used for the security audit and technical
inspection of various infrastructures. Therefore, any tool proposed as equivalent to Acunetix On Premise
S Premium Enterprise shall, throughout the entire contract period (36 months), strictly comply with the
A
C following licensing requirements:
IL
B The equivalent licence shall allow the scanning of an unlimited number of web applications and shall not be
Ú
P limited by either the number of scans or the number of scanning engines that may operate in parallel.
S
E Taking into account the operational requirements of the end user, the proposed solution shall guarantee the
N
O preservation of the historical data accumulated during the previous years of use of Acunetix On Premise
I C Premium Enterprise, including scan results, identified vulnerabilities, their analysis, severity levels, and
A prioritisation.
R
T
S Since each web application vulnerability scanning solution applies its own logic for vulnerability analysis,
I
N classification and prioritisation, any equivalent solution shall provide the capability to import data from
IM
Acunetix On Premise Premium Enterprise, preserving the manufacturer's original risk assessment
D
A methodology for future scans. Any replacement solution shall not result in the distortion of historical trends,
S inaccurate comparison of scan results, or incorrect representation of security reports relating to web assets.
A
L
E
• Response regarding Nessus-type equivalent tools:
D
N According to the Technical Specifications, the required tool will be used for the security audit and technical
Ó inspection of various infrastructures. Therefore, any tool proposed as equivalent to Nessus Vulnerability
I
C Scanner Annual shall strictly comply with the following licensing requirements:
A
Z
IL The equivalent licence shall allow the scanning of an unlimited number of IP addresses (hosts/nodes)
A throughout the entire contract period (36 months). The licensing model shall not be limited by, or linked to,
N
O the volume, size or number of assets within the external networks subject to the security assessment.
I
C
A The solution management console shall support on-premises deployment within the customer's
N
infrastructure and shall be capable of operating fully in an environment isolated from the Internet.
R
E
T
N
I
A Question 7
L
A
“Good morning,
R
A
P We kindly request clarification as to whether, for this project, certification under the National Security
N Framework (ENS) must be included or, alternatively, whether it is not required.
Ó
I
C
Thank you very much.”
A
D
N • Response:
U
F
No, ENS certification is not required for this project, taking into account that the end user of the vulnerability
scanning tools is a Ukrainian public authority (the State Service of Special Communications and Information
Protection of Ukraine – SSSCIP), and that the procurement documentation specifies that the licences will
be deployed on-premises in Ukraine, outside the network of the Government of Spain.
Página 8 de 8
V2_2026-01-23
La vista PDF está disponible solo para usuarios registrados.