TenderNed Standaardenmonitor

Organisaties 8.1 ORG-0001 Officiële naam: Gemeente Hoeksche Waard Registratienummer: 34652379 Postadres: Sportlaan 22 Stad: Maasdam Postcode: 3299 XG Onderverdeling land (NUTS): Groot-Rijnmond (NL366) Land: Nederland Contactpunt: Romee Meijdam E-mail: inkoop@gemeentehw.nl Telefoon: +31 621671051 Internetadres: http://www.gemeentehw.nl Andere contactpunten: Officiële naam: Arrondissementsrechtbank Rotterdam - Dordrecht Postadres: Wilhelminaplein 100-125 Stad: Rotterdam Postcode: 3072 AK Onderverdeling land Publicatie TN-616497 - 5 okt 2026 Pagina 3 van 3 (NUTS): Groot-Rijnmond (NL366) Land: Nederland Contactpunt: Rechtbank Rotterdam E-mail: rechtbankrotterdam@rechtspraak.nl Telefoon: +31 883626000 Internetadres: http://www.rechtspraak.nl Rollen van deze organisatie: Koper Organisatie die nadere inlichtingen over de aanbestedingsprocedure verstrekt Organisatie voor beroepsprocedures Informatie over een aankondiging Identificatiecode/versie van de aankondiging: c6006c92-957f-4617-85ba-b331c5726d28 - 01 Type formulier: Raadpleging Type aankondiging: Aankondiging van voorafgaande marktconsultatie Verzenddatum van de aankondiging: 05/10/2026 15:02 +02:00 Talen waarin deze aankondiging officieel beschikbaar is: Nederlands Informatie functionaliteiten Functionaliteit 1 Technische bouwregelgeving (Rijks- BBL, BAL, BKL) Assistant 2 Provinciale Verordeningen (PDF) 3 Parkeernormen, Welstandsnota’s, Beleid etc op Gemeenteniveau 4 Omgevingsplannen/ Bestemmingsplan (DSO) Assistant 5 Omgevingsplan Rapport in PDF 6 Provinciale Verordeningen Waterschapsdocumenten vanuit DSO 7 Parapluplannen en uitzonderingsplannen DSO 8 Monumenten en beschermde dorps stadsgezichten (monumenten.nl/ Rijksdienst cultureel erfgoed/ DSO) 9 Vergunningsvrij check (incl Rapport in PDF) 10 Automatische Vergunningsvrij met Shape File 11 Mogelijkheid om Vergunningsvrij aan te passen 12 Beleids-en Lokale Regelgeving 13 Aanvullende documenten van gemeente kunnen toegevoegd worden aan publieke bibliotheek 14 BLVC toets 15 Bouwmelding/Gereed melding toets 16 Omgevingsplantoets 17 Promptbibliotheek om zelf prompts op te slaan 18 Mogelijkheid om eigen documenten toe te voegen en checks te doen aan eigen docs ( Kan ook uitgezet worden i.v.m. privacy) 19 Document Consolidatie 20 Document Anonimisatie 21 Mogelijkheid om niet gedigitaliseerde plannen (PDF) digitaal te maken binnen Struck 22 ISO 27001 certificering 23 GDPR 24 Single Sign On (SSO) 25 Logo op rapporten 26 Management Rapporten 27 Werk Samen met Collega’s in Projecten 28 Integratie met Zaaksysteem 29 BIM Viewer 30.

De leverancier beschikt daarnaast over een omvangrijke bibliotheek met Nederlandse bouwregelgeving, omgevingsplannen en aanverwante regelgeving. Ook beschikt deze leverancier over een ISO 27001- certificering en diverse functionaliteiten die specifiek aansluiten op de uitvoering van taken binnen het VTHdomein.

Internetveiligheidsstandaarden De opdrachtnemer past de volgende standaarden van de 'pas toe of leg uit'-lijst toe op het platform en op de e-mailstromen die binnen deze opdracht worden gebruikt: HTTPS en HSTS voor alle webverbindingen; TLS conform de meest actuele ICT-beveiligingsrichtlijnen voor Transport Layer Security van het NCSC; DNSSEC op de gebruikte domeinnamen; SPF, DKIM en DMARC (met beleid op ten minste 'quarantine') voor uitgaande e-mail; STARTTLS en DANE voor de mailservers.

Internetveiligheidsstandaarden De opdrachtnemer past de volgende standaarden van de 'pas toe of leg uit'-lijst toe op het platform en op de e-mailstromen die binnen deze opdracht worden gebruikt: HTTPS en HSTS voor alle webverbindingen; TLS conform de meest actuele ICT-beveiligingsrichtlijnen voor Transport Layer Security van het NCSC; DNSSEC op de gebruikte domeinnamen; SPF, DKIM en DMARC (met beleid op ten minste 'quarantine') voor uitgaande e-mail; STARTTLS en DANE voor de mailservers.

Internetveiligheidsstandaarden De opdrachtnemer past de volgende standaarden van de 'pas toe of leg uit'-lijst toe op het platform en op de e-mailstromen die binnen deze opdracht worden gebruikt: HTTPS en HSTS voor alle webverbindingen; TLS conform de meest actuele ICT-beveiligingsrichtlijnen voor Transport Layer Security van het NCSC; DNSSEC op de gebruikte domeinnamen; SPF, DKIM en DMARC (met beleid op ten minste 'quarantine') voor uitgaande e-mail; STARTTLS en DANE voor de mailservers.

Digitale toegankelijkheid Het platform en alle daarmee samenhangende digitale communicatie voldoen aan de Europese norm EN 301 549, die de eisen van WCAG 2.2 op niveau AA overneemt.

De opdrachtnemer levert uiterlijk op de ingangsdatum van de overeenkomst een toegankelijkheidsverklaring aan, opgesteld volgens het model van DigiToegankelijk.nl en gebaseerd op een onderzoek door een onafhankelijke partij.

Het platform voldoet aan de Europese norm EN 301 549, die de eisen van WCAG 2.2 op niveau AA overneemt.

Internetveiligheidsstandaarden De opdrachtnemer past de volgende standaarden van de 'pas toe of leg uit'-lijst toe op het platform en op de e-mailstromen die binnen deze opdracht worden gebruikt: HTTPS en HSTS voor alle webverbindingen; TLS conform de meest actuele ICT-beveiligingsrichtlijnen voor Transport Layer Security van het NCSC; DNSSEC op de gebruikte domeinnamen; SPF, DKIM en DMARC (met beleid op ten minste 'quarantine') voor uitgaande e-mail; STARTTLS en DANE voor de mailservers.

X ISO 27001 Een geldig certificaat op grond van ISO/IEC 27001:2022 of een aantoonbaar gelijkwaardig certificaat.

ISO 27001 Opdrachtnemer beschikt uiterlijk op de ingangsdatum van de overeenkomst over een geldig certificaat op grond van ISO/IEC 27001:2022 of een aantoonbaar gelijkwaardig certificaat.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

Internetveiligheidsstandaarden De opdrachtnemer past de volgende standaarden van de 'pas toe of leg uit'-lijst toe op het platform en op de e-mailstromen die binnen deze opdracht worden gebruikt: HTTPS en HSTS voor alle webverbindingen; TLS conform de meest actuele ICT-beveiligingsrichtlijnen voor Transport Layer Security van het NCSC; DNSSEC op de gebruikte domeinnamen; SPF, DKIM en DMARC (met beleid op ten minste 'quarantine') voor uitgaande e-mail; STARTTLS en DANE voor de mailservers.

Internetveiligheidsstandaarden De opdrachtnemer past de volgende standaarden van de 'pas toe of leg uit'-lijst toe op het platform en op de e-mailstromen die binnen deze opdracht worden gebruikt: HTTPS en HSTS voor alle webverbindingen; TLS conform de meest actuele ICT-beveiligingsrichtlijnen voor Transport Layer Security van het NCSC; DNSSEC op de gebruikte domeinnamen; SPF, DKIM en DMARC (met beleid op ten minste 'quarantine') voor uitgaande e-mail; STARTTLS en DANE voor de mailservers.

Opdrachtgever heeft een geopackage meegeleverd met daarin de ecozones ook opgenomen.

Opdrachtnemer mag hierbij gebruik maken van SAML 2.0 of Open-id connect (OAuth 2.0).

De SaaSleverancier mag hierbij gebruik maken van SAML 2.0 of Open-id connect (OAuth 2.0).

De SaaS-leverancier mag hierbij gebruik maken van SAML 2.0 of Open-id connect (OAuth 2.0).

De oplossing moet voldoen aan het gemeentelijke beveiligingsbeleid en moet gebruik maken van de relevante technieken zoals op de pas-toe-ofleg-uit lijst (PTOLU) staan vermeld (SPF, DKIM, DMARC, STARTTLS+DANE).

De oplossing moet voldoen aan het gemeentelijke beveiligingsbeleid en moet gebruik maken van de relevante technieken zoals op de pas-toe-of-leg-uit lijst (PTOLU) 4 staan vermeld (SPF, DKIM, DMARC, STARTTLS+DANE).

E-mail versturen via externe, niet in beheer van de gemeente zijnde mailservers, met zelf aan te vragen domeinen (al bij de gemeente horende domeinen zoals @s-hertogenbosch.nl kunnen dus niet worden gebruikt): De oplossing moet voldoen aan het gemeentelijke beveiligingsbeleid en moet gebruik maken van de relevante technieken zoals op de pas-toe-of-leg-uit lijst (PTOLU) staan vermeld (SPF, DKIM, DMARC, STARTTLS+DANE).

De oplossing moet voldoen aan het gemeentelijke beveiligingsbeleid en moet gebruik maken van de relevante technieken zoals op de pas-toe-ofleg-uit lijst (PTOLU) staan vermeld (SPF, DKIM, DMARC, STARTTLS+DANE).

De oplossing moet voldoen aan het gemeentelijke beveiligingsbeleid en moet gebruik maken van de relevante technieken zoals op de pas-toe-of-leg-uit lijst (PTOLU) 4 staan vermeld (SPF, DKIM, DMARC, STARTTLS+DANE).

E-mail versturen via externe, niet in beheer van de gemeente zijnde mailservers, met zelf aan te vragen domeinen (al bij de gemeente horende domeinen zoals @s-hertogenbosch.nl kunnen dus niet worden gebruikt): De oplossing moet voldoen aan het gemeentelijke beveiligingsbeleid en moet gebruik maken van de relevante technieken zoals op de pas-toe-of-leg-uit lijst (PTOLU) staan vermeld (SPF, DKIM, DMARC, STARTTLS+DANE).

c De applicatie voldoet aan de beveiligingsrichtlijnen voor webapplicaties van het NCSC, is versleuteld met protocollen en algoritmen volgens de laatste stand van de techniek en moet voldoen aan de pas-toe-of-leg-uit lijst (PTOLU) van het Forum Standaardisatie (o.a. https://, DNSSEC, IPv6 etc.) d Het gebruik van TLS en HTTP headers voldoet aan de laatste stand van de techniek.

b. Interfaces voor inwoners en bedrijven van de ICT-oplossing voldoen aan de eisen vermeld op www.digitoegankelijk.nl c. De applicatie voldoet aan de beveiligingsrichtlijnen voor webapplicaties van het NCSC1 , is versleuteld met protocollen en algoritmen volgens de laatste stand van de techniek2 en moet voldoen aan de pas-toe-of-leg-uit lijst (PTOLU) van het Forum Standaardisatie3 (o.a. https://, DNSSEC, IPv6 etc.) d. Het gebruik van TLS en HTTP-headers voldoet aan de laatste stand van de techniek.

Als hier 100% wordt gescoord, dan wordt aan alle voorwaarden voldaan en zijn zaken met betrekking tot IPv6 en DNSSEC die buiten de scope van dit document vallen ook in orde.

b Interfaces voor inwoners en bedrijven van de ICT-oplossing voldoen aan de eisen vermeld op www.digitoegankelijk.nl.

b. Interfaces voor inwoners en bedrijven van de ICT-oplossing voldoen aan de eisen vermeld op www.digitoegankelijk.nl c. De applicatie voldoet aan de beveiligingsrichtlijnen voor webapplicaties van het NCSC1 , is versleuteld met protocollen en algoritmen volgens de laatste stand van de techniek2 en moet voldoen aan de pas-toe-of-leg-uit lijst (PTOLU) van het Forum Standaardisatie3 (o.a. https://, DNSSEC, IPv6 etc.) d. Het gebruik van TLS en HTTP-headers voldoet aan de laatste stand van de techniek.

Filetransfer (HTTPS, SFTP of SCP) Gemeente initieert altijd het ophalen van de data, data kan niet gepusht worden naar het Dataplatform.

In geval van doorverwijzing moet de domeinnaam eerst zelf verwijzen naar zijn HTTPSvariant, voordat deze eventueel doorverwijst naar een andere domeinnaam.

Dit zorgt er ook voor dat een webbrowser de HSTS-policy kan accepteren.

c De applicatie voldoet aan de beveiligingsrichtlijnen voor webapplicaties van het NCSC, is versleuteld met protocollen en algoritmen volgens de laatste stand van de techniek en moet voldoen aan de pas-toe-of-leg-uit lijst (PTOLU) van het Forum Standaardisatie (o.a. https://, DNSSEC, IPv6 etc.) d Het gebruik van TLS en HTTP headers voldoet aan de laatste stand van de techniek.

Verbindingen van en naar publieke netwerken vinden altijd plaats op basis van de TCP/IP protocol suite, waarbij voor diensten die de gemeente aanbiedt geldt dat hier zowel IPv4 als IPv6 wordt gebruikt.

b. Interfaces voor inwoners en bedrijven van de ICT-oplossing voldoen aan de eisen vermeld op www.digitoegankelijk.nl c. De applicatie voldoet aan de beveiligingsrichtlijnen voor webapplicaties van het NCSC1 , is versleuteld met protocollen en algoritmen volgens de laatste stand van de techniek2 en moet voldoen aan de pas-toe-of-leg-uit lijst (PTOLU) van het Forum Standaardisatie3 (o.a. https://, DNSSEC, IPv6 etc.) d. Het gebruik van TLS en HTTP-headers voldoet aan de laatste stand van de techniek.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

De BIO2 is gebaseerd op de laatste versie van de ISO 27001 en de ISO 27002.

De BIO2 is gebaseerd op de laatste versie van de ISO 27001 en de ISO 27002.

Om ongewenste omleidingen van verkeer te voorkomen wordt als onderliggende laag van de aangeboden dienst(en) verplicht gebruik gemaakt van RPKI.

De oplossing moet voldoen aan het gemeentelijke beveiligingsbeleid en moet gebruik maken van de relevante technieken zoals op de pas-toe-ofleg-uit lijst (PTOLU) staan vermeld (SPF, DKIM, DMARC, STARTTLS+DANE).

De oplossing moet voldoen aan het gemeentelijke beveiligingsbeleid en moet gebruik maken van de relevante technieken zoals op de pas-toe-of-leg-uit lijst (PTOLU) 4 staan vermeld (SPF, DKIM, DMARC, STARTTLS+DANE).

E-mail versturen via externe, niet in beheer van de gemeente zijnde mailservers, met zelf aan te vragen domeinen (al bij de gemeente horende domeinen zoals @s-hertogenbosch.nl kunnen dus niet worden gebruikt): De oplossing moet voldoen aan het gemeentelijke beveiligingsbeleid en moet gebruik maken van de relevante technieken zoals op de pas-toe-of-leg-uit lijst (PTOLU) staan vermeld (SPF, DKIM, DMARC, STARTTLS+DANE).

Eis TE2 Opdrachtnemer waarborgt dat de aangeboden ICT-oplossing met bijbehorende koppelingen niet meer dan één major versie achterloopt (“neerwaartse compatibiliteit”) op de webrichtlijnen en de landelijke standaarden, zoals de ZGW API’s, Haal Centraal, StUF-BG, RGBZ, ImZTC en RSGB die voor de ICToplossing van toepassing zijn.

Van buiten (SaaS) naar binnen geldt dat een tweezijdige TLS-verbinding noodzakelijk is op basis van de laatste beveiligingsstandaarden (TLS 1.2, TLS 1.3).

Het gebruik van security.txt (RFC 9116) is verplicht.

Het is de bedoeling dat verzoeken aan /.wellknown/security.txt via een zogenaamde 302-redirect worden doorgeleid naar https://s-hertogenbosch.nl/.well-known/security.txt, tenzij de aangeboden dienst niet exclusief voor de gemeente bedoeld is.

In dat geval is gebruik van een security.txtmechanisme welke door de leverancier is ingericht van toepassing; 22.

Het betreft normen en standaarden die de volgende ICT-kwaliteitsgebieden afdekken (tussen haakjes staan ter verduidelijking voorbeelden van betreffende normen en standaarden, waarbij opvolgende versies ook onder de normen vallen): • Architectuur (GEMMA); • Interoperabiliteit (NEN3610, Stuf, SUWIML, Digikoppeling, iWMO); • Beveiliging (Baseline Informatiebeveiliging Gemeenten); • Dataportabiliteit; • Metadatering (TMLO); • Toegankelijkheid (Webrichtlijnen); • Archivering (NEN-ISO 15489-1 NL, NEN-ISO 16175-1); • Infrastructuur (Generieke Digitale Infrastructuur, aansluiten op Stelsel van Basisregistraties); • Documentatie; • E-facturering. Veel normen en standaarden schrijven voor dat bepaalde preventieve testen worden uitgevoerd zodat aangetoond wordt dat aan de betreffende norm wordt voldaan.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

03 Hoogtemetingen dienen te geschieden ten opzichte van N.A.P. 04 De gegevens digitaal vastleggen op door de opdrachtgever/directie ter beschikking te stellen ondergronden, in DWG- en DXF-formaat conform tekenrichtlijn NLCS XML-formaat t.b.v. levering aan de landelijke voorziening BGT (LVBGT).

Overhandiging stukken als volgt: - 1 x digitaal bestand in DWG- of DXF-formaat conform tekenrichtlijn NLCS; - 1 x digitaal bestand in XML-formaat conform Objectenhandboek BGT Dronten; - 1 x digitaal bestand in PDF-formaat; - 1 x analoog in uitgewerkte vorm.

NLCS-tekenrichtlijnen .

03 Hoogtemetingen dienen te geschieden ten opzichte van N.A.P. 04 De gegevens digitaal vastleggen op door de opdrachtgever/directie ter beschikking te stellen ondergronden, in DWG- en DXF-formaat conform tekenrichtlijn NLCS XML-formaat t.b.v. levering aan de landelijke voorziening BGT (LVBGT).

Overhandiging stukken als volgt: - 1 x digitaal bestand in DWG- of DXF-formaat conform tekenrichtlijn NLCS; - 1 x digitaal bestand in XML-formaat conform Objectenhandboek BGT Dronten; - 1 x digitaal bestand in PDF-formaat; - 1 x analoog in uitgewerkte vorm.

4.2.4 Informatiebeveiliging U beschikt op de uiterste datum voor het indienen van de inschrijving over een geldig certificaat conform ISO 27001 Informatiebeveiliging of over gelijkwaardige maatregelen op het gebied van informatiebeveiliging. De gemeente aanvaardt, in geval van gelijkwaardige maatregelen, een beschrijving op hoofdlijnen van uw managementsysteem voor informatiebeveiliging. Hierin toont u aan dat uw managementsysteem voor informatiebeveiliging minimaal gelijkwaardig is aan ISO 27001.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

Indien bijlage V "Cybersecurity Implementatierichtlijn Objecten" niet voorziet in cybersecuritymaatregelen voor de invulling van de cybersecurity eisen, dan dient de Opdrachtnemer de NEN-ISO/IEC 27002 (Code voor Informatiebeveiliging) en/of delen van de IEC 62443 standaards (Industrial Automation and Control Systems (IACS) Security) te volgen.

Toelichting: Sessiebeheer Referentie code norm: U.05 Referentie brondocument: Thema Softwarepakketten BIO-BBN: Relevante standaard PToLU-lijst Forum Standaardisatie: SAML (authenticatie) Samenvatting eis: Sessies behoren authentiek te zijn voor elke gebruiker en behoren ongeldig gemaakt te worden na een time-out of perioden van inactiviteit.

Verificatie methode(n): Overleg bewijsstukken en/of Verklaring. Toelichting: Herstelfunctie voor data en clouddiensten Referentie code norm: U.04 Referentie brondocument: Thema Clouddiensten BIO-BBN: Relevante standaard PToLU-lijst Forum Standaardisatie: Samenvatting eis: De herstelfunctie van de data en clouddiensten, gericht op ondersteuning van bedrijfsprocessen, behoort te worden gefaciliteerd met infrastructuur en IT-diensten, die robuust zijn en periodiek worden getest. Verificatie methode(n): Interne controle, Overleg bewijsstukken of Verklaring. Toelichting: Dataprotectie Referentie code norm: U.05 Referentie brondocument: Thema Clouddiensten BIO-BBN: Relevante standaard PToLU-lijst Forum Standaardisatie: * TLS, HTTPS en HSTS (beveiligde verbinding) * DNSSEC (ondertekende domeinnaam) * STARTTLS en DANE (beveiligde mailserver-verbindingen) * DMARC+DKIM+SPF (anti-mailphishing/-spoofing) * Digikoppeling (beveiligde gegevensuitwisseling tussen systemen) Samenvatting eis: Data (‘op transport’, ‘in verwerking’ en ‘in rust’) met de classificatie BBN2 of hoger behoort te worden beschermd met cryptografische maatregelen en te voldoen aan Nederlandse wetgeving. Verificatie methode(n): Interne controle, Overleg bewijsstukken of Verklaring. Daarnaast internet.nl.

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Verificatie methode(n): Overleg bewijsstukken en/of Verklaring. Toelichting: Herstelfunctie voor data en clouddiensten Referentie code norm: U.04 Referentie brondocument: Thema Clouddiensten BIO-BBN: Relevante standaard PToLU-lijst Forum Standaardisatie: Samenvatting eis: De herstelfunctie van de data en clouddiensten, gericht op ondersteuning van bedrijfsprocessen, behoort te worden gefaciliteerd met infrastructuur en IT-diensten, die robuust zijn en periodiek worden getest. Verificatie methode(n): Interne controle, Overleg bewijsstukken of Verklaring. Toelichting: Dataprotectie Referentie code norm: U.05 Referentie brondocument: Thema Clouddiensten BIO-BBN: Relevante standaard PToLU-lijst Forum Standaardisatie: * TLS, HTTPS en HSTS (beveiligde verbinding) * DNSSEC (ondertekende domeinnaam) * STARTTLS en DANE (beveiligde mailserver-verbindingen) * DMARC+DKIM+SPF (anti-mailphishing/-spoofing) * Digikoppeling (beveiligde gegevensuitwisseling tussen systemen) Samenvatting eis: Data (‘op transport’, ‘in verwerking’ en ‘in rust’) met de classificatie BBN2 of hoger behoort te worden beschermd met cryptografische maatregelen en te voldoen aan Nederlandse wetgeving. Verificatie methode(n): Interne controle, Overleg bewijsstukken of Verklaring. Daarnaast internet.nl.

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Toelichting: Communicatie Referentie code norm: U.07 Referentie brondocument: Thema Softwarepakketten BIO-BBN: Relevante standaard PToLU-lijst Forum Standaardisatie: * TLS, HTTPS en HSTS (beveiligde verbinding) * DNSSEC (ondertekende domeinnaam) Samenvatting eis: Het softwarepakket past versleuteling toe op de communicatie van gegevens die passend bij het classificatieniveau is van de gegevens en controleert hierop.

Verificatie methode(n): Overleg bewijsstukken en/of Verklaring. Toelichting: Herstelfunctie voor data en clouddiensten Referentie code norm: U.04 Referentie brondocument: Thema Clouddiensten BIO-BBN: Relevante standaard PToLU-lijst Forum Standaardisatie: Samenvatting eis: De herstelfunctie van de data en clouddiensten, gericht op ondersteuning van bedrijfsprocessen, behoort te worden gefaciliteerd met infrastructuur en IT-diensten, die robuust zijn en periodiek worden getest. Verificatie methode(n): Interne controle, Overleg bewijsstukken of Verklaring. Toelichting: Dataprotectie Referentie code norm: U.05 Referentie brondocument: Thema Clouddiensten BIO-BBN: Relevante standaard PToLU-lijst Forum Standaardisatie: * TLS, HTTPS en HSTS (beveiligde verbinding) * DNSSEC (ondertekende domeinnaam) * STARTTLS en DANE (beveiligde mailserver-verbindingen) * DMARC+DKIM+SPF (anti-mailphishing/-spoofing) * Digikoppeling (beveiligde gegevensuitwisseling tussen systemen) Samenvatting eis: Data (‘op transport’, ‘in verwerking’ en ‘in rust’) met de classificatie BBN2 of hoger behoort te worden beschermd met cryptografische maatregelen en te voldoen aan Nederlandse wetgeving. Verificatie methode(n): Interne controle, Overleg bewijsstukken of Verklaring. Daarnaast internet.nl.

Verificatie methode(n): Overleg bewijsstukken en/of Verklaring. Toelichting: Herstelfunctie voor data en clouddiensten Referentie code norm: U.04 Referentie brondocument: Thema Clouddiensten BIO-BBN: Relevante standaard PToLU-lijst Forum Standaardisatie: Samenvatting eis: De herstelfunctie van de data en clouddiensten, gericht op ondersteuning van bedrijfsprocessen, behoort te worden gefaciliteerd met infrastructuur en IT-diensten, die robuust zijn en periodiek worden getest. Verificatie methode(n): Interne controle, Overleg bewijsstukken of Verklaring. Toelichting: Dataprotectie Referentie code norm: U.05 Referentie brondocument: Thema Clouddiensten BIO-BBN: Relevante standaard PToLU-lijst Forum Standaardisatie: * TLS, HTTPS en HSTS (beveiligde verbinding) * DNSSEC (ondertekende domeinnaam) * STARTTLS en DANE (beveiligde mailserver-verbindingen) * DMARC+DKIM+SPF (anti-mailphishing/-spoofing) * Digikoppeling (beveiligde gegevensuitwisseling tussen systemen) Samenvatting eis: Data (‘op transport’, ‘in verwerking’ en ‘in rust’) met de classificatie BBN2 of hoger behoort te worden beschermd met cryptografische maatregelen en te voldoen aan Nederlandse wetgeving. Verificatie methode(n): Interne controle, Overleg bewijsstukken of Verklaring. Daarnaast internet.nl.

Het betreft normen en standaarden die de volgende ICT-kwaliteitsgebieden afdekken (tussen haakjes staan ter verduidelijking voorbeelden van betreffende normen en standaarden, waarbij opvolgende versies ook onder de normen vallen): • Architectuur (GEMMA); • Interoperabiliteit (NEN3610, Stuf, SUWIML, Digikoppeling, iWMO); • Beveiliging (Baseline Informatiebeveiliging Gemeenten); • Dataportabiliteit; • Metadatering (TMLO); • Toegankelijkheid (Webrichtlijnen); • Archivering (NEN-ISO 15489-1 NL, NEN-ISO 16175-1); • Infrastructuur (Generieke Digitale Infrastructuur, aansluiten op Stelsel van Basisregistraties); • Documentatie; • E-facturering. Veel normen en standaarden schrijven voor dat bepaalde preventieve testen worden uitgevoerd zodat aangetoond wordt dat aan de betreffende norm wordt voldaan.

Onder websites vallen ook intra- en extranetten en cloudapplicaties volgens de Europese definitie (zie https://www.digitoegankelijk.nl/wetgeving/specifieke-situaties/intranetten-extranetten-en-cloudapplicaties).

6.3 Normen en standaarden Nr. Standaard/norm Bronnen/referenties E1 Europese standaard EN 301 549 met WCAG 2.1 digitoegankelijk.nl en forumstandaardisatie.nl/standaard/ digitoegankelijk-en-301-549-met-wcag-21 6.4 Tips en toelichting 1.

Op digitoegankelijk.nl/wetgeving/wat-verplicht is beschreven welke verplichtingen gelden, o.a. voor het publiceren van een toegankelijkheidsverklaring. 3.

Toelichting: Communicatie Referentie code norm: U.07 Referentie brondocument: Thema Softwarepakketten BIO-BBN: Relevante standaard PToLU-lijst Forum Standaardisatie: * TLS, HTTPS en HSTS (beveiligde verbinding) * DNSSEC (ondertekende domeinnaam) Samenvatting eis: Het softwarepakket past versleuteling toe op de communicatie van gegevens die passend bij het classificatieniveau is van de gegevens en controleert hierop.

Verificatie methode(n): Overleg bewijsstukken en/of Verklaring. Toelichting: Herstelfunctie voor data en clouddiensten Referentie code norm: U.04 Referentie brondocument: Thema Clouddiensten BIO-BBN: Relevante standaard PToLU-lijst Forum Standaardisatie: Samenvatting eis: De herstelfunctie van de data en clouddiensten, gericht op ondersteuning van bedrijfsprocessen, behoort te worden gefaciliteerd met infrastructuur en IT-diensten, die robuust zijn en periodiek worden getest. Verificatie methode(n): Interne controle, Overleg bewijsstukken of Verklaring. Toelichting: Dataprotectie Referentie code norm: U.05 Referentie brondocument: Thema Clouddiensten BIO-BBN: Relevante standaard PToLU-lijst Forum Standaardisatie: * TLS, HTTPS en HSTS (beveiligde verbinding) * DNSSEC (ondertekende domeinnaam) * STARTTLS en DANE (beveiligde mailserver-verbindingen) * DMARC+DKIM+SPF (anti-mailphishing/-spoofing) * Digikoppeling (beveiligde gegevensuitwisseling tussen systemen) Samenvatting eis: Data (‘op transport’, ‘in verwerking’ en ‘in rust’) met de classificatie BBN2 of hoger behoort te worden beschermd met cryptografische maatregelen en te voldoen aan Nederlandse wetgeving. Verificatie methode(n): Interne controle, Overleg bewijsstukken of Verklaring. Daarnaast internet.nl.

Verificatie methode(n): Interne controle, Overleg bewijsstukken of Verklaring. Toelichting: Cryptoservices Referentie code norm: U.11 Referentie brondocument: Thema Clouddiensten BIO-BBN: Ja Relevante standaard PToLU-lijst Forum Standaardisatie: * TLS, HTTPS en HSTS (beveiligde verbinding) Samenvatting eis: Gevoelige data van CSC’s behoort conform het overeengekomen beleid inzake cryptografische maatregelen tijdens transport via netwerken en bij opslag bij CSP te zijn versleuteld Verificatie methode(n): Interne controle, Overleg bewijsstukken of Verklaring. Daarnaast internet.nl.

8.3 Normen en standaarden Nr. Standaard/norm Bronnen/referenties G1 Aansluiten op voorzieningen uit de GDI Het overzicht van de GDI is gegeven op digitaleoverheid.nl/mido/generieke-digitaleinfrastructuur-gdi 22 G2 Aansluiten op gemeentelijke voorzieningen en afspraken: - Ondersteunen IPv6 - GGI Netwerk - Aansluiting op Gemeentelijk GegevensKnooppunt (GGK) - Nationaal Parkeer Register De GGI wordt onder regie van VNG Realisatie doorontwikkeld: https://vng.nl/artikelen/ gemeentelijke-gemeenschappelijkeinfrastructuur-ggi Richtlijnen voor IPv6 in ICT-apparatuur: forumstandaardisatie.nl/sites/ bfs/files/atoms/files/ripe-554-nl.pdf G3 Toepassen Haven binnen het werkingsgebied van deze standaard (zie ook toelichting hieronder) haven.commonground.nl/techniek/de-standaard 8.4 Tips en toelichting 1.

Na beoordeling van de Inschrijvingen in te dienen: De inschrijver die gezien de ranking in aanmerking komt voor gunning, dient de volgende documenten binnen 5 dagen na een eerste verzoek de volgende bewijsstukken in te dienen: Onderwerp Bewijsstuk 4.2.1 Verplichte uitsluitingsgronden Verklaring Belastingdienst 4.2.2 Facultatieve uitsluitingsgronden GVA 4.3.2.1 Financiële en economische draagkracht Verzekeringspolissen 4.3.2.2 Bedrijfscontinuïteit Meest recente jaarrekening met goedkeurende accountantsverklaring zonder continuïteitsparagraaf 4.3.4 Technische bekwaamheid: Informatieveiligheid Kopieën van certificaten volgens de internationale normenreeks ISO 27001 incl. Verklaring van Toepasselijkheid o f gelijkwaardig Service Level Agreement conform gestelde eisen (concept) SLA Test- en acceptatieplan Gereviewed en aangevuld Test- en acceptatieplan welke als bijlage 20 bij de aanbesteding gevoegd is Exit-plan conform gestelde eisen (concept) Exit-plan Hierbij verklaart ondergetekende Inschrijver dat onderstaande opdracht inzake het leveren van gebruiksrecht, onderhoud, dienstverlening op afstand en implementatiediensten van een Contract- en Leveranciersmanagement systeem conform de overeenkomst uitvoert of heeft uitgevoerd.

Elke deelnemer van de Combinatie dient afzonderlijk te voldoen aan de gestelde eisen ten behoeve van informatieveiligheid (ISO 27001 certificaat incl. Verklaring van Toepasselijkheid of gelijkwaardig).

Informatiebeveiliging De inschrijver dient te beschikken over een ISO/IEC 27001:2022 certificaat of een gelijkwaardig certificaat, voor wat betreft de dienstverlening die van toepassing is voor deze opdracht.

10.3 Normen en standaarden Nr. Standaard/norm Bronnen/referenties I1 EN16931 en NLCIUS forumstandaardisatie.nl/openstandaarden/nlcius 10.4 Tips en toelichting 1.

NLCIUS is een aanvullende nationale specificatie op EN16931 voor toepassing in Nederland.

Verificatie methode(n): Overleg bewijsstukken en/of Verklaring. Toelichting: Herstelfunctie voor data en clouddiensten Referentie code norm: U.04 Referentie brondocument: Thema Clouddiensten BIO-BBN: Relevante standaard PToLU-lijst Forum Standaardisatie: Samenvatting eis: De herstelfunctie van de data en clouddiensten, gericht op ondersteuning van bedrijfsprocessen, behoort te worden gefaciliteerd met infrastructuur en IT-diensten, die robuust zijn en periodiek worden getest. Verificatie methode(n): Interne controle, Overleg bewijsstukken of Verklaring. Toelichting: Dataprotectie Referentie code norm: U.05 Referentie brondocument: Thema Clouddiensten BIO-BBN: Relevante standaard PToLU-lijst Forum Standaardisatie: * TLS, HTTPS en HSTS (beveiligde verbinding) * DNSSEC (ondertekende domeinnaam) * STARTTLS en DANE (beveiligde mailserver-verbindingen) * DMARC+DKIM+SPF (anti-mailphishing/-spoofing) * Digikoppeling (beveiligde gegevensuitwisseling tussen systemen) Samenvatting eis: Data (‘op transport’, ‘in verwerking’ en ‘in rust’) met de classificatie BBN2 of hoger behoort te worden beschermd met cryptografische maatregelen en te voldoen aan Nederlandse wetgeving. Verificatie methode(n): Interne controle, Overleg bewijsstukken of Verklaring. Daarnaast internet.nl.

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Het systeem voldoet aan alle relevante privacy- en beveiligingseisen (BIO-2, DPIA/IAMA) en ondersteunt open standaarden (REST API’s, JSON, NLX, StUF) voor integratie met andere applicaties.

Ten opzichte van de StUF-standaarden sluiten deze API-standaarden beter aan bij door softwareontwikkelaars gebruikte industriestandaarden.

Opdrachtnemer moet beschikken over anti-kloon en fraudebeveiliging en in het bezit zijn van een ISO 27001 certificering of vergelijkbaar.