TenderNed Standaardenmonitor

5.5.3 Managementsysteem voor informatiebeveiliging Inschrijver dient te beschikken over een geldig NEN-EN-ISO 27001 (security management) certificaat in relatie tot de door Vitens te verrichten diensten en de bijbehorende verklaring Europese openbare aanbesteding Storage Pagina 28 van 40 van toepasselijkheid (statement of applicability) of een hieraan gelijkwaardige certificering die betrekking heeft op het managementsysteem voor informatiebeveiliging van een organisatie in relatie tot de aard van de gevraagde diensten als omschreven in deze Selectieleidraad of Inschrijver beschikt over een eigen informatie beveiligingssysteem dat gelijkwaardig is aan een systeem waarvoor een NEN-EN-ISO 27001 certificaat is afgegeven.

Indien Inschrijver een gelijkwaardig gecertificeerd managementsysteem voor informatiebeveiliging heeft, gebaseerd op een andere norm dan de NEN-EN-ISO 27001, dient Inschrijver naast het certificaat van de certificerende instantie als bedoeld in artikel 2.96 van de Aanbestedingswet ook onderbouwd toe te lichten op welke punten en in welke mate het systeem voor informatiebeveiliging overeenkomt en/of afwijkt van het van toepassing zijnde NEN-EN-ISO 27001 systeem.

Indien Inschrijver niet beschikt over een dergelijk certificaat dient deze te beschikken over een eigen managementsysteem voor informatiebeveiliging dat vergelijkbaar is met NEN-ENISO 27001.

Een certificaat conform ISO 27001 van inschrijver zelf of een hiermee vergelijkwaardig certificaat voldoet aan de gevraagde geschiktheid ten aanzien van informatiebeveiliging. Indien inschrijver een afschrift van dit certificaat bij de inschrijving aanlevert is geen notitie van max. 2 A4 met de beschrijving van zijn informatiebeveiliging nodig.

Reden: de huidige titel "NIS2 & Cbw" dekt de lading onvoldoende en suggereert dat het artikel uitsluitend ziet op de twee genoemde wetten, terwijl het artikel bredere normen omvat (o.a. NEN7510, ISO 27001/27701/27799, AVG).

Deze bepaling geldt onverminderd de eisen en maatregelen uit NEN7510, ISO 27001, 27701 en 27799 en de AVG.

Indien Leverancier gebruik maakt van een gepersonaliseerde omgeving in de catalogus worden gebruikers geauthentiseerd via SAML 2.0 of OAUTH2+OpenID.

ISO 27001-certificering wordt dan ook niet als aanvullende geschiktheidseis opgenomen.

HU Gegevensuitwisselingsovereenkomst 2026 7/10 ALDUS OVEREENGEKOMEN DOOR PARTIJEN: [PARTIJ I] [PARTIJ II] _____/_____/___________ _____/_____/___________ Datum Datum ______________________ ______________________ Naam Naam _____________________ ______________________ Handtekening Handtekening HU Gegevensuitwisselingsovereenkomst 2026 8/10 Bijlage A: Specificatie van de gegevensuitwisseling Omschrijving en Doeleinden van de Verwerking (incl. evt. specifieke verwerkingen o.g.v. art. 4.5) (in te vullen door Verwerkingsverantwoordelijken) Categorieën Betrokkenen (in te vullen door Verwerkingsverantwoordelijken) Categorieën Persoonsgegevens (in te vullen door Verwerkingsverantwoordelijken) Bewaartermijn van Persoonsgegevens of de criteria om die vast te stellen (enkel invullen indien van toepassing) Type informatie Bewaartermijn (+ toelichting) Contactgegevens Algemene contactgegevens Naam Functie Emailadres Telefoonnummer Verwerkingsverantwoordelijke I Verwerkingsverantwoordelijke II HU Gegevensuitwisselingsovereenkomst 2026 9/10 Contactgegevens bij Inbreuk in verband met Persoonsgegevens Naam Functie E-mail adres Telefoonnum mer [Partij I] (in te vullen door Verwerkingsverantwoordelijke) [Partij II] (in te vullen door Verwerkingsverantwoordelijke) Datum bijlage: [DATUM] HU Gegevensuitwisselingsovereenkomst 2026 10/10 Bijlage B: Beveiligingsmaatregelen Certificaten Verwerkingsverantwoordelijken beschikken over de volgende geldige certificaten of verklaringen van een deskundige derde waaruit blijkt dat Verwerkingsverantwoordelijken voldoen aan hun verplichting de Persoonsgegevens die zij verwerken adequaat te beveiligen: Naam Naam of nummer Toepassingsgebied Geldigheidsduur [Partij I] (in te vullen door Verwerkingsverantwoordelijke) bijv. ISO 27001, NEN 7510, SOC 2 [Partij II] (in te vullen door Verwerkingsverantwoordelijke) Verwerkingsverantwoordelijken dragen ervoor zorg dat zij gedurende deze Gegevensuitwisselingsovereenkomst blijven beschikken over bovenstaande certificaten of een gelijkwaardige opvolger daarvan met een nieuwe geldigheidsduur.

Leverancier zorgt dat verbinding tussen de aangeboden applicatie en de gekoppelde systemen o.b.v. de algemeen geaccepteerde secure versie van het encryptie protocol zijn te beveiligen (in 2017 is dat TLS 1.2).

5.4 De websites kennen een architectuurmodel waarin het mogelijk is om inhoud van andere systemen te hergebruiken of inhoud voor andere systemen beschikbaar te stellen, gebruikmakend van 5 standaard koppelvlakken (als REST API, webhooks, SAML, etc.). 5.5 Toegang tot de websites zijn op basis van federatieve single identiteit via SAML 2.0 (Azure AD/IDP) of via SURFconext en een Claims based authenticatie.

o Kerncompetentie 3: aantoonbare ervaring met de realisatie en borging van minimaal WCAG 2.1 niveau AA voor een publiek toegankelijke website.

• Kerncompetentie 3: aantoonbare ervaring met de realisatie en borging van minimaal WCAG 2.1 niveau AA voor een publiek toegankelijke website.

6.6 De webomgevingen voldoen aan de volgende technische minimumvereisten: HTTPS-only communicatie is verplicht, inclusief HSTS-header; TLS 1.0 en TLS 1.1 zijn uitgeschakeld; er is een Web Application Firewall (WAF) aanwezig; de OWASP Top 10 kwetsbaarheden zijn aantoonbaar Field Code Changed 6 geadresseerd; HTTP-beveiligingsheaders zijn geconfigureerd (waaronder Content Security Policy en XFrame-Options); er wordt geen end-of-life software of end-of-life frameworks gebruikt.

Van de opdrachtnemer wordt verwacht dat de hosting- en beheeromgeving voldoet aan een beveiligingsniveau vergelijkbaar met ISO 27001.

Een geldig ISO 27001-certificaat volstaat als bewijs.

Bijlage 4 Programma van Eisen, eis 6.1 Eis 6.1 stelt dat de dienstverlening wordt ingericht conform de principes van ISO 27001 of een gelijkwaardig certificaat zoals SOC 2 Type II.

© 2024, Erasmus MC, ICT Services Pagina 11/23 Datum 15 april 2025 Hoofdstuk Aansluitvoorwaarden netwerkinfrastructuur Titel Aansluitvoorwaarden Erasmus MC Infrastructuur 2.3.3 Transport Layer Security (TLS) De versie van het TLS protocol moet minimaal v1.2 of hoger zijn.

© 2024, Erasmus MC, ICT Services 1/23 Document Aansluitvoorwaarden Erasmus MC Infrastructuur Versie 11.2 Datum 15 april 2025 Opsteller(s) Pieter van Dorp, Lars Hameeteman, Jasper Klaren, Danjan Mudde Beheerder(s) Pieter van Dorp en Danjan Mudde Opdrachtgever Bob Maas Aansluitvoorwaarden Erasmus MC Infrastructuur © 2024, Erasmus MC, ICT Services Pagina 2/23 Datum 15 april 2025 Titel Aansluitvoorwaarden Erasmus MC Infrastructuur Inhoudsopgave 1 Algemeen 5 1.1 Doel 5 1.2 Vaststelling en wijziging 5 1.2.1 Aansluitvoorwaarden 5 1.2.2 Uitzonderingen 5 1.3 Publicatie 5 2 Aansluitvoorwaarden netwerkinfrastructuur 6 2.1 Leeswijzer 6 2.2 Algemene aansluitvoorwaarden 7 2.2.1 Het netwerk van het Erasmus MC is onderverdeeld in netwerkzones (geïmplementeerd als zgn. VRF’s), waarvan de belangrijkste zijn: 7 2.2.2 NAC Netwerk Access Control (802.1x) 9 2.3 Protocollen 10 2.3.1 Algemeen 10 2.3.2 Netbios 10 2.3.3 Transport Layer Security (TLS) 11 2.3.4 Lightweight Directory LDAP 11 2.3.5 Server Message Block (SMB) 11 2.4 Aansluitvoorwaarden voor clients op het draadgebonden LAN 11 2.4.1 Algemeen 11 2.4.2 Netwerkaansluiting 11 2.4.3 Regels ten aanzien van inrichting en gebruik 12 2.5 Aansluitvoorwaarden voor systemen op draadloze LANs 13 2.5.1 Algemeen 13 2.5.2 Structuur 13 2.5.3 Algemene aansluitvoorwaarden WLANs 14 2.5.4 Aansluitvoorwaarden voor clients op SSID ‘ErasmusMC’ 15 2.5.5 Aansluitvoorwaarden voor de SSID’s ‘Voip-messaging(-a)’, ‘Patmon’ en ‘Med-App’ 15 2.5.6 Aansluitvoorwaarden voor SSID=‘eduroam’ 16 2.5.7 Aansluitvoorwaarden voor SSID=‘Hotspot’ 16 2.6 Aansluitvoorwaarden voor fysieke en virtuele servers 17 2.6.1 Algemeen 17 2.6.2 Aansluitvoorwaarden voor Windows servers 17 2.6.3 Aansluitvoorwaarden voor Databases 18 2.7 Aansluitvoorwaarden voor externe toegang 19 © 2024, Erasmus MC, ICT Services Pagina 3/23 Datum 15 april 2025 Titel Aansluitvoorwaarden Erasmus MC Infrastructuur 3 Toezicht op naleven van de aansluitvoorwaarden en sancties 20 3.1 Toezichthouder 20 3.2 Overtreding aansluitvoorwaarden 20 3.3 Aansprakelijkheid 20 4 Appendix A: Literatuurlijst 21 5 Appendix B: Verklarende afkortingen en woordenlijst 22 © 2024, Erasmus MC, ICT Services Pagina 4/23 Datum 15 april 2025 Hoofdstuk Algemeen Titel Aansluitvoorwaarden Erasmus MC Infrastructuur Revisiedatum: 27-3-2025 Versiebeheer: Versie datum Versie Samenvatting van de aanpassing Uitgevoerd door 8-4-2021 10.1 802.1x en DNS naamgeving Danjan Mudde 01-09-2022 10.2 Toevoeging van beschrijving toestaan Multicast binnen netwerk Danjan Mudde 01-09-2022 10.2 Hoofdstuk nummering aangepast Danjan Mudde 16-01-2023 10.3 Onder kopje Netwerkaansluiting Power Over Ethernet eis toegevoegd Danjan Mudde 12-5-2023 10.4 WOL niet meer mogelijk na introductie 802.1x met dynamische VLAN toewijzing Danjan Mudde 29-8-2024 11.0 Toevoeging TLS protocollen Danjan Mudde 27-3-2025 11.1 - Aanpassing bescherming anti virus en mallware - Voorkeur verbinden op 5 GHz Danjan Mudde 15-4-2026 11.2 - Div.

TLS Transport Layer Security (TLS) is een cryptografisch protocol dat is ontworpen om communicatiebeveiliging te bieden via een computernetwerk.

Gebruik van WPA2-Enterprise is verplicht, behoudens door ICT Services goedgekeurde uitzonderingen per SSID.

62 Selectieleidraad §2.3 / hoofdstuk 4 Welke informatiebeveiligingseisen stelt NLPO aan de opdrachtnemer en het platform (bijv. ISO/IEC 27001, SOC 2 Type De NLPO stelt eisen aan de informatiebeveiliging, privacy en continuïteit van het controleplatform.

Technische en beroepsbekwaamheid Informatiebeveiliging De Inschrijver beschikt over een vastgelegd en gecertificeerd managementsysteem voor informatiebeveiliging (ISO 27001), dat periodiek door een geaccrediteerde instelling wordt getoetst. Na voorlopige gunning wordt een kopie van een geldig ISO-27001-certificaat overgelegd.

Is Opdrachtgever bereid om aansluiting te zoeken bij de ISO 27001 certificering van Inschrijver en slechts een audit uit te (laten) voeren als er een gegronde reden bestaat op grond waarvan Opdrachtgever veronderstelt dat Opdrachtnemer haar verplichtingen onder de Overeenkomst niet (volledig) nakomt?

Is Opdrachtgever bereid om aansluiting te zoeken bij de bestaande certificeringen en assurance-rapportages van Inschrijver, zoals ISO 27001, en inspecties slechts toe te staan indien daarvoor een redelijke en concrete aanleiding bestaat?

Opdrachtgever committeert zich aan het gebruik van de van toepassing zijnde en de verplichte standaarden van het Forum Standaardisatie in relatie tot de Low-code Oplossing. Het betreft de volgende streefbeeldafspraken informatieveiligheid conform https://www.forumstandaardisatie.nl/onderwerpen/veilig-internet/streefbeeldafspraken: • Ades Baseline Profiles De ‘AdES Baseline Profiles’ moeten worden toegepast op de ondertekening van XML-, CMS-, PDF- en ZIP-bestanden met geavanceerde en/of gekwalificeerde elektronische handtekeningen, zegels of tijdstempels.

Hogere eisen aan certificaten vloeien voort uit een risicoanalyse, aansluitvoorwaarden of wetgeving. 16 Overheidsmaatregelnummer Overheidsmaatregel 5.14.03 Geavanceerde en/of gekwalificeerde elektronische handtekeningen voldoen aan de Advanced Electronic Signatures (AdES Baseline Profiles), zoals opgenomen in de Lijst open standaarden van Forum Standaardisatie.

Security Assertion Markup Language (SAML): Een op XML gebaseerde standaard voor het uitwisselen van authenticatie- en autorisatiegegevens tussen domeinen.

De Low-code Oplossing ondersteunt minimaal de volgende mogelijkheden voor het beveiligen van API's en/of webservices: • TLS 1.3; • OAuth, SAML, OIDC (ondersteunt of mogelijkheid om in te bouwen); • Encryptie (door het Low-code Oplossing).

ICT begrippenlijst | Low-code oplossing | IUC IUC25-011 Belastingdienst | 15 april 2026 pagina 3 van 18 Afkorting Begrip OWASP Open Web Application Security Project Prio Prioriteit PVA Plan van aanpak QT Quantumtechnologie RBAC Role Based Access Control RDMMS Relational Database Management Systemen RPO Recovery Point Objective RTO Recovery Time Objective SAML Security Assertion Markup Language SBOM Software Bill Of Materials SLA Service Level Agreement SOW Statement of Work SPOC Single Point of Contact SSL Secure Socket Layer SSO Single Sign-On TLS Transport Layer Security UE Uitvoeringseis UEA Uniform Europees Aanbestedingsdocument VE Vormeis/Vormvereiste Bijlage 1.

• Digikoppeling Digikoppeling moet worden toegepast bij digitale gegevensuitwisseling die plaatsvindt met voorzieningen die onderdeel zijn van de GDI, waaronder de basisregistraties, of die sector overstijgend is.

Geautomatiseerde gegevensuitwisseling tussen informatiesystemen op basis van NEN3610 is uitgesloten van het functioneel toepassingsgebied. • Digitoegankelijk (EN 301 549 met WCAG 2.1) Digitoegankelijk (EN 301 549 met WCAG 2.1) moet worden toegepast op het aanbieden van webgebaseerde informatie-, interactie-, transactie- en participatiediensten.

• HTTPS en HSTS HTTPS en HSTS moeten worden toegepast op de communicatie tussen clients (zoals webbrowsers) en servers voor alle websites en webservices.

• IPv6 IPv6 moet op digitale diensten en op netwerken en apparaten worden toegepast. Dit betekent ten eerste dat digitale diensten, zoals websites en e-mailservers, bereikbaar moeten zijn via IPv6.

Ten tweede betekent dit dat netwerken IPv6 moeten aanbieden en dat apparaten zo moeten worden geconfigureerd dat IPv6 wordt gebruikt indien aangeboden.

In veel gevallen zal het vanwege interoperabiliteit noodzakelijk blijven om naast IPv6 ook IPv4 toe te passen.

Deze regelgeving is gebaseerd op de NEN/ISO 27001:2017 en de NEN/ISO 27002:2022, en bevat daarnaast aanvullende beveiligingseisen.

De BIO2 beschrijft de invulling van NEN-EN-ISO/IEC 27001:2023 en NEN-EN-ISO/IEC 27002:2022 voor de overheid.

Contextbepaling NEN-EN-ISO/IEC 27001 vereist dat een entiteit eerst haar context vaststelt om relevante informatiebeveiligingsrisico’s te identificeren.

Deze regelgeving is gebaseerd op de NEN/ISO 27001:2017 en de NEN/ISO 27002:2022, en bevat daarnaast aanvullende beveiligingseisen.

NEN-EN-ISO/IEC 27001 en NEN-EN-ISO/IEC 27002 beschrijven de details voor implementatie (richtlijnen) en eisen voor de procesinrichting (onder andere het ISMS uit NEN-EN-ISO/IEC 27001).

Het gebruik van informatie uit NEN-EN-ISO/IEC 27001 en NEN-EN-ISO/IEC 27002 in de BIO is auteursrechtelijk beschermd.

• NL GOV Assurance Profile for OAuth 2.0 NL GOV Assurance Profile for OAuth 2.0 moet worden toegepast bij applicaties waarbij gebruikers of ‘resource owners’ impliciet of expliciet toestemming geven aan een dienst van een derde om namens deze toegang te krijgen tot Data via een REST API waarvoor ze recht van toegang hebben.

De Low-code Oplossing ondersteunt minimaal de volgende mogelijkheden voor het beveiligen van API's en/of webservices: • TLS 1.3; • OAuth, SAML, OIDC (ondersteunt of mogelijkheid om in te bouwen); • Encryptie (door het Low-code Oplossing).

Transport Layer Security (TLS): Een cryptografisch protocol die Gegevens codeert en een verbinding verifieert bij het overdragen van Data via het internet.

ICT begrippenlijst | Low-code oplossing | IUC IUC25-011 Belastingdienst | 15 april 2026 pagina 3 van 18 Afkorting Begrip OWASP Open Web Application Security Project Prio Prioriteit PVA Plan van aanpak QT Quantumtechnologie RBAC Role Based Access Control RDMMS Relational Database Management Systemen RPO Recovery Point Objective RTO Recovery Time Objective SAML Security Assertion Markup Language SBOM Software Bill Of Materials SLA Service Level Agreement SOW Statement of Work SPOC Single Point of Contact SSL Secure Socket Layer SSO Single Sign-On TLS Transport Layer Security UE Uitvoeringseis UEA Uniform Europees Aanbestedingsdocument VE Vormeis/Vormvereiste Bijlage 1.

Een Onderneming (een Inschrijver, een combinant of een derde) kan zich slechts beroepen op de (in samenwerkingsverband) opgedane ervaring indien de Onderneming de werkzaamheden waarop de technische bekwaamheid berust daadwerkelijk zelf heeft verricht Kwaliteitsborging Voorts dient inschrijver op het moment van het indienen van een inschrijving en gedurende de looptijd van de raamovereenkomst te beschikken over de volgende certificeringen: • Bewijs ISO 9001-2015 of gelijkwaardig • Bewijs ISO 27001 of gelijkwaardig • Bewijs ISO 14001 of gelijkwaardig Europese aanbesteding (multifunctionele) printers en de daarbij horende dienstverlening Europese aanbesteding levering van (multifunctionele) printers en de daarbij horende dienstverlening Referentienummer: 1-465260826 Pagina 12 van 22 Kwaliteitsmanagementsysteem Inschrijver dient over een gecertificeerd kwaliteitsmanagementsysteem, zijnde NEN-EN-ISO 9001 of gelijkwaardige certificaten te beschikken.

Versleuteling voldoet gedurende de looptijd van de overeenkomst aan de meest recente ICTbeveiligingsrichtlijnen voor Transport Layer Security (TLS) van het NCSC.