TenderNed Standaardenmonitor

The Processor holds ISO 27001 or similar certification or verifiably works in accordance with ISO 27001 and has implemented appropriate written data protection policies for the processing of Personal Data.

Inschrijver voldoet voor Informatieveiligheid en Digitale Weerbaarheid aantoonbaar overeenkomstig met ISO/IEC 27001 en beschikt over een geldig ISO/IEC 27001-certificaat dat van toepassing is op de aangeboden dienst en daarbij relevante locaties en subverwerkers.

De tabel in paragraaf 4.1 bevat op dit punt een redactionele onvolkomenheid: E3 staat daar ten onrechte vermeld als "bij inschrijving" in te dienen, terwijl uit paragraaf 4.4.3 en de daar opgenomen tabel (kolom "Bewijsstuk": "Na verzoek in te dienen") volgt dat de bewijsstukken voor E3 (zoals het ISO 9001- en ISO 27001-certificaat en het ISAE 3402- rapport) pas na verzoek — dat wil zeggen bij de Inschrijver die voor gunning in aanmerking komt in de verificatiefase — hoeven te worden overgelegd.

In lagenstructuur van de NLCS.

02 Tevens dient de revisie in de juiste lagen, conform de laagindeling van de NLCS te worden getekend.

800LM 8A 730 DANE CV G5.ldt .

U beschikt over keurmerk ISO 27001 incl. verklaring van toepasselijkheid, of een vergelijkbaar certificaat.

ISO 27001 certificering / normering 1: Certificaat U dient een certificaat te kunnen overleggen dat voldoet aan gestelde ISO-norm en minimaal geldig is op de uiterste datum van de inschrijving en geldig zal worden gehouden tijdens de looptijd van de opdracht.

De door Verwerker ingeschakelde Subverwerkers zijn: Subverwerker (naam incl. plaats van vestiging) Persoonsgegevens die Subverwerker verwerkt Omschrijving van de reden voor de subverwerking Land van verwerking en relevant doorgifteinstrument De doorgiften naar derde landen bij de Verwerking zijn: Doorgifte naar derde landen (naam partij + welk derde land) Doel doorgifte (kostenbesparingen, schaalvoordelen of beveiligingsverbeteringen) Doorgifteinstrument Aanvullende maatregelen naar aanleiding van een doorgifte aan een derde land (indien van toepassing) Contactgegevens: Algemene contactgegevens Naam Functie E-mailadres Telefoonnummer Verwerkingsverantwoordelijke Verwerker Datum bijlage: [DATUM] 8/11 Bijlage B: Beveiligingsmaatregelen HIER ZIJN 2 OPTIES MOGELIJK, KEUZE IS VEREIST OPTIE 1: Als Verwerker beschikt over certificaten die afdoende zijn Verwerker beschikt over de volgende geldige certificaten of verklaringen van een deskundige derde waaruit blijkt dat Verwerker voldoet aan zijn verplichting de Persoonsgegevens die hij ten behoeve van Verwerkingsverantwoordelijke verwerkt adequaat te beveiligen: Naam of nummer Toepassingsgebied Geldigheidsduur bijv. ISO 27001, NEN 7510, SOC 2 Verwerker draagt ervoor zorg dat hij gedurende deze Verwerkersovereenkomst blijft beschikken over bovenstaande certificaten of een gelijkwaardige opvolger daarvan met een nieuwe geldigheidsduur.

48.3 In aanvulling op artikel 9 garandeert Opdrachtnemer ingeval van het beschikbaar stellen van Software en/of Clouddiensten aan Stedin dat: a. Opdrachtnemer passende organisatorische beveiligingsmaatregelen geïmplementeerd houdt om de beschikbaarheid, integriteit en vertrouwelijkheid te waarborgen van de gegevens die met behulp van de Software of Clouddiensten worden verwerkt, conform de norm ISO 27001, dan wel een daarvoor nader overeen te komen gelijkwaardige normering; b. de Software en/of de Clouddienst geen “achterdeur”, “drop dead device”, “time bomb”, “Trojan horse”, “virus” of “worm” (of dergelijke termen die gewoonlijk worden gehanteerd binnen de softwareindustrie) of andere code bevat die is ontworpen of is bestemd om een van de volgende functies te hebben: (i) het verstoren, buiten werking stellen, beschadigen of anderszins belemmeren op welke manier dan ook van de werking van, of ongeoorloofde toegang verlenen tot een computersysteem of netwerk of een ander apparaat waarop dergelijke code wordt gebruikt, opgeslagen of geïnstalleerd, of (ii) beschadiging of vernietiging van gegevens of bestanden zonder toestemming van de gebruiker; c. de Software en/of de Clouddienst is ontwikkeld conform de normen OWASP of de ICT-Beveiligingsrichtlijnen voor Webapplicaties van het NCSC, dan wel een nader overeen te komen gelijkwaardige normering, om te waarborgen deze vrij is van beveiligingsproblemen; d. de Clouddiensten zjin voorzien van deugdelijke identificatie, authenticatie en autorisatie om bevoegde gebruikers toegang te bieden en onbevoegden buiten te houden; e. indien Opdrachtnemer niet de rechthebbende van de Standaardsoftware of de Clouddiensten is, zij door rechthebbende is gemachtigd om namens deze Gebruiksrechten aan derden te verschaffen.

48.3 In aanvulling op artikel 9 garandeert Opdrachtnemer ingeval van het beschikbaar stellen van Software en/of Clouddiensten aan Stedin dat: a. Opdrachtnemer passende organisatorische beveiligingsmaatregelen geïmplementeerd houdt om de beschikbaarheid, integriteit en vertrouwelijkheid te waarborgen van de gegevens die met behulp van de Software of Clouddiensten worden verwerkt, conform de norm ISO 27001, dan wel een daarvoor nader overeen te komen gelijkwaardige normering; b. de Software en/of de Clouddienst geen “achterdeur”, “drop dead device”, “time bomb”, “Trojan horse”, “virus” of “worm” (of dergelijke termen die gewoonlijk worden gehanteerd binnen de softwareindustrie) of andere code bevat die is ontworpen of is bestemd om een van de volgende functies te hebben: (i) het verstoren, buiten werking stellen, beschadigen of anderszins belemmeren op welke manier dan ook van de werking van, of ongeoorloofde toegang verlenen tot een computersysteem of netwerk of een ander apparaat waarop dergelijke code wordt gebruikt, opgeslagen of geïnstalleerd, of (ii) beschadiging of vernietiging van gegevens of bestanden zonder toestemming van de gebruiker; c. de Software en/of de Clouddienst is ontwikkeld conform de normen OWASP of de ICT-Beveiligingsrichtlijnen voor Webapplicaties van het NCSC, dan wel een nader overeen te komen gelijkwaardige normering, om te waarborgen deze vrij is van beveiligingsproblemen; d. de Clouddiensten zjin voorzien van deugdelijke identificatie, authenticatie en autorisatie om bevoegde gebruikers toegang te bieden en onbevoegden buiten te houden; e. indien Opdrachtnemer niet de rechthebbende van de Standaardsoftware of de Clouddiensten is, zij door rechthebbende is gemachtigd om namens deze Gebruiksrechten aan derden te verschaffen.

Externe authenticatie via LDAP, RADIUS of SAML wordt ondersteund.

Internetprotocol IPv4 en IPv6 routing worden ondersteund.

Internetprotocol IPv4 en IPv6 ondersteuning 21.

Informatiebeveiliging Draagt bij aan naleving van de relevante informatiebeveiligingsmaatregelen uit ISO/IEC 27002.

Authenticatie van gebruikers verloopt via Microsoft Entra ID op basis van SAML 2.0 en/of OpenID Connect, met Single Sign-On en multifactorauthenticatie (MFA).

5.3 Om aan zijn plichten uit artikel 38 van de Inkoopvoorwaarden te voldoen, overlegt Contractant jaarlijks een ISO-certificering (ISO 27001).

5.4 Informatiebeveiliging Inschrijver verklaart in het UEA te beschikken over een informatiebeveiligingssysteem conform ISO 27001.

De voorlopig gegunde Inschrijver dient, na het uitbrengen van de voorgenomen gunning, dit aan te leveren volgens een van de volgende bewijsmiddelen: • Een geldig informatiebeveiligingscertificaat conform de ISO 27001 of; • Een gelijkwaardig informatiebeveiligingscertificaat afgegeven door conformiteitsbeoordeling-instanties die voldoen aan de Europese normenreeks voor certificering of; • Een informatiebeveiligingscertificaat minimaal gelijkwaardig is aan de ISO 27001 en dat minimaal de volgende kenmerken bevat: organisatie brede verankering en uitvoering, interne controlecyclus en de periodieke audits.

Gegevens worden versleuteld opgeslagen (minimaal AES-256) en versleuteld getransporteerd (TLS 1.2 of hoger).

Partijen regelen de verwerking van persoonsgegevens door Leverancier ten behoeve van Slachtofferhulp Nederland in de tussen partijen nader overeen te komen verwerkersovereenkomst. 11.3 Leverancier valideert jaarlijks de effectiviteit van de beheersmaatregelen die de beveiliging van de ICT-systemen van Leverancier en Vertrouwelijke Informatie waarborgen gebaseerd op een daartoe passende vergelijkbare norm, maar niet limitatief beperkt tot ISO 27001/ISO 27002, ISAE 3402 type 2, Cobit.

Partijen regelen de verwerking van persoonsgegevens door Leverancier ten behoeve van Slachtofferhulp Nederland in de tussen partijen nader overeen te komen verwerkersovereenkomst. 11.3 Leverancier valideert jaarlijks de effectiviteit van de beheersmaatregelen die de beveiliging van de ICT-systemen van Leverancier en Vertrouwelijke Informatie waarborgen gebaseerd op een daartoe passende vergelijkbare norm, maar niet limitatief beperkt tot ISO 27001/ISO 27002, ISAE 3402 type 2, Cobit.

d. Notitie waarin wordt aangetoond dat gegadigde informatiebeveiliging toepast. Een afschrift van een geldig ISO 27001 (of gelijkwaardig) certificaat voldoet en vervangt de plicht om de notitie aan te leveren.

In paragraaf 6.2.2.2 wordt verwezen naar ISO 27001 of een gelijkwaardig certificaat als bewijs voor informatiebeveiliging. Kan de aanbestedende dienst verduidelijken op welk organisatieniveau deze certificering aanwezig dient te zijn?

Een ISO 27001-certificering ziet daarbij doorgaans niet uitsluitend op één lokale entiteit, maar op een bredere organisatorische scope waarin governance, systemen, processen, leveranciersbeheer en technische maatregelen gezamenlijk zijn ondergebracht.

Er wordt echter niet specifiek benoemd welk systeem of welk protocol (bijv. SAML 2.0 of OpenID Connect) VISTA college actueel gebruikt en als eis stelt aan de koppeling. Vraag: Kunt u specificeren welke concrete Identity provider (bijv. Azure AD) en welk authenticatieprotocol (SAML 2.0 of OpenID Connect) VISTA college momenteel zelf hanteert voor SSO integratie in applicaties, zodat wij de juiste koppeling kunnen aanbieden?