TenderNed Standaardenmonitor

De beschikbare certificeringen op het gebied van informatiebeveiliging en security waarover u beschikt, bijvoorbeeld ISO 27001.

Zijn jullie in het bezit van waarborgen en certificeringen, zoals ISO 27001 en ISO 42001, of andere, AI-specifieke certificeringen?

Opdrachtnemer draagt er, binnen de reikwijdte van zijn Dienst op grond van de Overeenkomst, zorg voor dat Opdrachtgever te allen tijde kan voldoen aan de volgende wetgeving en standaarden voor Informatiebeveiliging: a. Algemene Verordening Gegevensbescherming; b. Wet Digitale Overheid/Wet Structuur Uitvoeringsorganisatie Werk en Inkomen; c. Baseline Informatiebeveiliging Overheid /ISO 27001:2022/toepasselijke controls ISO 27002:2022; d. Grip op Secure Software Development/Open Web Application Security Project; e. Het CIA beveiligingskader, zie bijlage 4; ◼ ff.

Opdrachtnemer dient in dat geval zorg te dragen voor dat hij binnen 60 kalenderdagen (of een door Opdrachtgever en Opdrachtnemer overeengekomen periode) na de ondertekening van de Overeenkomst beschikt over een ISO 27001:2022 (of gelijkwaardig) certificering of over een aantoonbare gelijkwaardige baseline op het gebied van Informatiebeveiliging voor de Diensten die onder deze Overeenkomst vallen.

Opdrachtnemer dient, voor de onder de Overeenkomst overeengekomen Diensten, op basis van ISO 27001:2022 (of gelijkwaardig), gecertificeerd te zijn en te blijven of over een aantoonbare gelijkwaardige baseline op het gebied van Informatiebeveiliging te beschikken.

Opdrachtnemer voldoet aan de eisen uit Grip op Secure Software Development, ISO 27001:2022 en relevante controls van de ISO 27002:2022 ten aanzien van de software die ingezet wordt.

Deze volgen de SETU-standaarden, zoals gebruikelijk is in de uitzendbranche.

Antwoord: Ja, de Hanze gaat akkoord met e-facturatie op basis van de SETU HR-XML-standaard, mits de facturen in het financiële systeem van de Hanze (AFAS) kunnen worden ingelezen en geautomatiseerd kunnen worden verwerkt.

Facturatie 5.6 Facturen zijn van het bestandsformaat: XML (UBL 2.0/2.1 standaard of SETU HR-XMLstandaard) in combinatie met een leesbare PDF, mits de facturen in het financiële systeem van de Hanze (AFAS) kunnen worden ingelezen en geautomatiseerd kunnen worden verwerkt.

# Onderwerp Maatregel Toelichting 1 Informatie-beveiligings- en privacybeleid Verwerker heeft een informatiebeveiligings- en privacybeleid dat voldoet aan de AVG en eventuele richtsnoeren van de Autoriteit Persoonsgegevens en aansluit op algemene standaarden zoals ISO 27001/2/18, NOREA of CoBIT.

De inschrijver beschikt op het moment van inschrijving over: - een geldig certificaat conform ISO 9001 of gelijkwaardig; - een geldig certificaat conform ISO/IEC 27001 of gelijkwaardig; - een geldig certificaat conform ISO 14001 of gelijkwaardig.

De inschrijver beschikt op het moment van inschrijving over: • een geldig certificaat conform ISO 9001 of gelijkwaardig; • een geldig certificaat conform ISO/IEC 27001 of gelijkwaardig; • een geldig certificaat conform ISO 14001 of gelijkwaardig.

Het oordeel van de toetsing wordt vastgelegd in deze bijlage onder a. Het CISO Office beoordeelt de beveiligingsmaatregelen en heeft hiervoor nodig: - BIV-classificatie - ISO 27001 certificering - Verklaring van Toepasselijkheid op de ISO 27001 certificering Of - Een door de leverancier ingevuld SURF normenkader als er geen ISO certificaat is.

C. Informatiebeveiliging U dient in het kader van informatiebeveiliging in zijn algemeenheid en op grond van de AVG aan te geven hoe zij voldoet aan het onderwerp informatiebeveiliging. Bewijsstuk U moet een certificaat (of een vergelijkbaar bewijs door een verklaring van een onafhankelijke en daartoe bevoegde Derde) van afdoende kwaliteitsborging kunnen verstrekken (ISO 27001 of een tenminste gelijkwaardig systeem), waarin procedures e.d. worden aangeduid of benoemd.

6.10 Vergoeding U heeft geen recht op een vergoeding van enigerlei kosten gemaakt in het kader van deze aanbesteding. © Tilburg University – Offerteaanvraag Leveren van informatiedragers Pagina 31 van 31 7 Checklist Nr. Onderdeel Voorwaarden 1 Uniform Europees Aanbestedingsdocument (UEA) Via TenderNed 2 Uittreksel(s) Kamer van Koophandel Niet ouder dan 6 maanden vanaf deadline Inschrijving Indien documenten door een procuratiehouder worden getekend, dient u de procuratieregeling bij uw Inschrijving bij te voegen 3 Referentieformulier Conform Bijlage 7 4 Algemene verklaring Conform Bijlage 4 5 Kwaliteitscriteria Kopie kwaliteitscertificaat of een verklaring van een onafhankelijke en daartoe bevoegde Derde 6 Informatiebeveiliging Kopie certificaat (of een vergelijkbaar bewijs door een verklaring van een onafhankelijke en daartoe bevoegde Derde) van afdoende kwaliteitsborging kunnen verstrekken (ISO 27001 of een tenminste gelijkwaardig systeem), waarin procedures e.d. worden aangeduid of benoemd 7 Prijsinvulformulier Conform Bijlage 9 Aanleveren in Excel-format (rechtsgeldig ondertekend) Aanleveren in PDF-format, (rechtsgeldig ondertekend) 8 Verklaring geen Russische betrokkenheid Conform Bijlage 6 9 Indien van toepassing: Verklaring betreffende Onderaannemers Conform Bijlage 5 Uniform Europees Aanbestedingsdocument (UEA) TN-594517 - 9 aug 2026 Pagina 1 van 28 Relevante aankondiging Nummer aankondiging in PB EU S (alleen indien u beschikt over dit nummer): - Vermeld, wanneer bekendmaking van een aankondiging in het Publicatieblad van de Europese Unie niet is vereist, andere gegevens op basis waarvan ondubbelzinnig kan worden vastgesteld om welke aanbestedingsprocedure het gaat (bijvoorbeeld verwijzing naar een bekendmaking op nationaal niveau): TenderNed-kenmerk: 594517 Procedure Deze aanbesteding betreft een procedure: Boven de Europese aanbestedingsdrempel Deel I: Gegevens over aanbestedingsprocedure en de aanbestedende dienst of aanbestedende entiteit (inclusief speciale-sectorbedrijven) Gegevens Identiteit van de aanbesteder: Tilburg University Om welke aanbesteding gaat het?

ISO 27001 of gelijkwaardig Ten aanzien van informatiebeveiliging stelt de Opdrachtgever eisen aan de dienstverlening en de daarbij ingezette systemen.

Inschrijver verklaart dat de door haar ingezette systemen en dienstverlening voldoen aan de uitgangspunten van NEN-EN-ISO/IEC 27001, dan wel een daarmee gelijkwaardig informatiebeveiligingsmanagementsysteem.

Voor ISO 27001 geldt dat het certificaat betrekking moet hebben op de aangeboden dienstverlening en/of de ingezette systemen die onderdeel uitmaken van deze opdracht; een organisatiebreed certificaat is niet vereist, mits de reikwijdte van het certificaat de opdracht dekt.

Opdrachtnemer werkt (indien er online bestanden uitgewisseld worden) uitsluitend met beveiligde HTTPS-verbindingen voor overdracht van gegevens en garandeert dat alle informatie, dossiers en communicatie uitsluitend via servers verloopt die voldoen aan de AVG-eisen.

Dit biedt een extra beveiligingslaag bovenop HTTPS, voorkomt ongeautoriseerde toegang en biedt maximale veilige integratie met uw interne systemen.

De machines dienen de volgende protocollen te ondersteunen: TCP/IP, LPD, IPP, SNMPv2 met sterke voorkeur voor SNMPv3 en http, https, LDAP en IPv6.

De inschrijvende partij neemt aan dat met ISO 27001 hiermee voldoende invulling gegeven wordt?

Programma van eisen nr. De inschrijvende partij gaat er vanuit dat met de aanlevering van een ISO 27001 certificaat voldaan wordt aan het ‘voorschrift informatiebeveiliging Rijksoverheid’.

De inschrijvende partij gaat er van uit dat met aanlevering van het recente ISO 27001 certificaat inclusief onderliggende ‘verklaring van toepasselijkheid’ voldoende invulling is van dit onderdeel.

Scannen naar PDF, PDF/A-1b en OCR scannen (op de machine of via een aparte server) dient ook mogelijk te zijn.

Eis 5: Technische- en beroepsbekwaamheid Geldig NEN-ISO 27001-certificaat of gelijkwaardig.

Aanbestedingsleidraad Meetdiensten facilitaire nutsaansluitingen v2.4 17 Eis 5: Technische en beroepsbekwaamheid, ISO 27001 De inschrijver dient te voldoen aan de normen inzake kwaliteitsbewaking NEN-EN-ISO/IEC ISO 27001 of een gelijkwaardig kwaliteitszorgsysteem en dient te beschikken over een geldig kwaliteitscertificaat dat is afgegeven door een onafhankelijke instantie die voldoet aan de Europese normenreeks EN-ISO 27001 (of een gelijkwaardig certificaat, afgegeven door een instituut binnen de EU; dit naar het oordeel van ProRail).

Het ISO 27001-certificaat dient aan te sluiten bij de door ProRail aanbestede opdracht.

Alle domeinnamen worden beveiligd door middel van DNSSEC.

Dit betekent dat de DNS-server DNSSEC moet ondersteunen.

Security.txt moet worden toegepast op alle systemen die via HTTPS publiek benaderbaar zijn.

Het informatiesysteem maakt gebruik van veilige en actuele communicatie en versleutelingsstandaarden (zoals TLS, HTTPS, FTPS).

De baseline omschrijft waarop http-headers voor beveiligingsdoeleinden moeten worden ingesteld en behandelt ten minste de volgende headers: - Strict-Transport-Security (HSTS) - Content-Security-Policy (CSP) - X-Frame-Options - X-Content-Type-Options - X-XSS-Protection - Refferer-Policy 9 Fysieke toegangsbeveiliging Verwerker neemt passende maatregelen (zoals sloten, camera’s, alarmsystemen) om de ruimtes waarin gegevens kunnen worden verwerkt, te beveiligen tegen onbevoegde toegang.

Voor applicaties die via het internet voor de eindgebruikers te benaderen zijn dient er zowel een IPv4 als IPv6 ingang beschikbaar te zijn.

De door Verwerker ingeschakelde Subverwerkers zijn: Subverwerker (naam incl. plaats van vestiging) Persoonsgegevens die Subverwerker verwerkt Omschrijving van de reden voor de subverwerking Land van verwerking en relevant doorgifte-instrument De doorgiften naar derde landen bij de Verwerking zijn: Doorgifte naar derde landen (naam partij + welk derde land) Doel doorgifte (kostenbesparingen, schaalvoordelen of beveiligingsverbeteringen) Doorgifte-instrument Aanvullende maatregelen naar aanleiding van een doorgifte aan een derde land (indien van toepassing) Contactgegevens: Algemene contactgegevens Naam Functie E-mailadres Telefoonnummer Verwerkingsverantwoordelijke Licentiebeheer Licentie/Contractmanagers Licentiebeheer.ic@saxion.nl Verwerker Datum bijlage: [DATUM] Bijlage B: Beveiligingsmaatregelen Verwerker beschikt over de volgende geldige certificaten of verklaringen van een deskundige derde waaruit blijkt dat Verwerker voldoet aan zijn verplichting de Persoonsgegevens die hij ten behoeve van Verwerkingsverantwoordelijke verwerkt adequaat te beveiligen: Naam of nummer Toepassingsgebied Geldigheidsduur bijv. ISO 27001, NEN 7510, SOC 2 Toereikendheid1 De toereikendheid van de informatiebeveiliging blijkt uit het volgende: Verwerker verstrekt een actueel en geldig certificaat en verklaring van toepasselijkheid (VVT); Rapportages van periodieke externe controles zoals audits, pentesten of TPM’s (bijv. ISAE3xxx SOC type II); Een assurance rapport (TPM) van een auditor die is aangesloten bij NOREA; Eigen controles of eigen mededelingen over de beveiligingsmaatregelen zoals hieronder beschreven (in lijn met de aanpak uit hoofdstuk 4.4 uit de BIO, een ICV): ……………………………………………………………………………………………

# Onderwerp Maatregel Toelichting 1 Informatiebeveiligings- en privacybeleid Verwerker heeft een informatiebeveiligings- en privacybeleid dat voldoet aan de AVG en eventuele richtsnoeren van de Autoriteit Persoonsgegevens en aansluit op algemene standaarden zoals ISO 27001/2/18, NOREA of CoBIT.

Bijlage B Beveiligingsmaatregelen  HIER ZIJN 2 OPTIES MOGELIJK, KEUZE IS VEREIST  OPTIE 1: Als Verwerker beschikt over certificaten die afdoende zijn  Verwerker beschikt over de volgende geldige certificaten of verklaringen van een deskundige derde waaruit blijkt dat Verwerker voldoet aan zijn verplichting de Persoonsgegevens die hij ten behoeve van Verwerkingsverantwoordelijke verwerkt adequaat te beveiligen:  Naam of nummer   Toepassingsgebied  Geldigheidsduur   bijv. ISO 27001, NEN 7510, SOC 2  Verwerker draagt ervoor zorg dat hij gedurende deze Verwerkersovereenkomst blijft beschikken over bovenstaande certificaten of een gelijkwaardige opvolger daarvan met een nieuwe geldigheidsduur.    

Zie ook: “ICT-beveiligingsrichtlijnen voor Transport Layer Security (TLS) van het NCSC .

De uitwisseling van gegevens is minimaal beveiligd middels het TLS 1.2 protocol of hoger.

Security.txt moet worden toegepast op alle systemen die via HTTPS publiek benaderbaar zijn.