TenderNed Standaardenmonitor

48.3 In aanvulling op artikel 9 garandeert Opdrachtnemer ingeval van het beschikbaar stellen van Software en/of Clouddiensten aan Stedin dat: a. Opdrachtnemer passende organisatorische beveiligingsmaatregelen geïmplementeerd houdt om de beschikbaarheid, integriteit en vertrouwelijkheid te waarborgen van de gegevens die met behulp van de Software of Clouddiensten worden verwerkt, conform de norm ISO 27001, dan wel een daarvoor nader overeen te komen gelijkwaardige normering; b. de Software en/of de Clouddienst geen “achterdeur”, “drop dead device”, “time bomb”, “Trojan horse”, “virus” of “worm” (of dergelijke termen die gewoonlijk worden gehanteerd binnen de softwareindustrie) of andere code bevat die is ontworpen of is bestemd om een van de volgende functies te hebben: (i) het verstoren, buiten werking stellen, beschadigen of anderszins belemmeren op welke manier dan ook van de werking van, of ongeoorloofde toegang verlenen tot een computersysteem of netwerk of een ander apparaat waarop dergelijke code wordt gebruikt, opgeslagen of geïnstalleerd, of (ii) beschadiging of vernietiging van gegevens of bestanden zonder toestemming van de gebruiker; c. de Software en/of de Clouddienst is ontwikkeld conform de normen OWASP of de ICT-Beveiligingsrichtlijnen voor Webapplicaties van het NCSC, dan wel een nader overeen te komen gelijkwaardige normering, om te waarborgen deze vrij is van beveiligingsproblemen; d. de Clouddiensten zjin voorzien van deugdelijke identificatie, authenticatie en autorisatie om bevoegde gebruikers toegang te bieden en onbevoegden buiten te houden; e. indien Opdrachtnemer niet de rechthebbende van de Standaardsoftware of de Clouddiensten is, zij door rechthebbende is gemachtigd om namens deze Gebruiksrechten aan derden te verschaffen.

Hier wordt in ieder geval onder verstaan: ISO 27001/2 of, in gevallen waarin door Leverancier persoonlijke gezondheidsinformatie wordt verwerkt van of ten behoeve van Opdrachtgever: NEN 7510, 7512 en 7513 dan wel een daarmee gelijkstaande internationale standaard.

Inschrijver / relevante Derde § 4.3.1 ☐ ISO/IEC 27001 + SoA Op verzoek: NEN-ISO/IEC 27001 inclusief SoA, of gelijkwaardig bewijs, met passende scope voor de bedrijfsprocessen die voor de Raamovereenkomst worden ingezet.

NEN-ISO/IEC 27001, inclusief de bijbehorende Verklaring van Toepasselijkheid (Statement of Applicability, SoA), of gelijkwaardig.

De BIO is gebaseerd op de NEN-ISO/IEC 27001:2017 en de NEN-ISO/IEC 27002:2017.

De BIO is gebaseerd op de NEN-ISO/IEC 27001:2017 en de NEN-ISO/IEC 27002:2017.

Eis 5.1.5 De BIO – en eventuele opvolgers - is van toepassing (NB: er is een hardheidsbepaling in paragraaf 2.2 opgenomen), zie https://www.bio-overheid.nl/media/1400/70463-rapport-bio-versie-104_digi.pdf Dat betekent dat zowel de ISO 27002 controls als de overheidsmaatregelen van toepassing zijn.

Eis 5.1.16 Informatiesystemen (bijvoorbeeld Service desk) betrokken bij de Prestatie die informatie uitwisselen via openbare netwerken moeten hiervoor te allen tijde versleutelde protocollen gebruiken waarbij de gehanteerde onderliggende encryptiealgoritmes en instellingen uitsluitend de duiding goed mogen hebben in de meest actuele versie van het NCSC document Richtlijnen voor Transport Layer Security (TLS).

Eis 5.1.17 Informatiesystemen betrokken bij de Prestatie zijn voor beheerdoeleinden niet anders te benaderen dan middels versleutelde protocollen, waarbij de gehanteerde onderliggende encryptiealgoritmes en instellingen uitsluitend de duiding goed mogen hebben in de meest actuele versie van het NCSC document Richtlijnen voor Transport Layer Security (TLS).

88 Player De player staat voor advertising minimaal toe: • Google IMA • VAST 4.x • VMAP • Client Side Ad Insertion • Server Side Ad Insertion • Google DAI • AdsWizz • Triton Digital • FreeWheel • IAB TCF 2.2 en hoger • Consent Mode v2 89 CDN, Player De CDN en player bieden minimaal: • Restart TV • Adaptive Bitrate Streaming • 99.9% uptime • 500.000 gelijktijdige kijkers en/of luisteraars ondersteunen • Recovery <30 sec na uitval/fail over • Ondersteunt Multi-CDN • Biedt automatische fail-over tussen CDN-netwerken • Intelligente routing op basis van performance en beschikbaarheid • Caching op meerdere niveaus • Biedt origin shielding • Ondersteunt wereldwijde distributie • Heeft een Europees, bij voorkeur, Nederlandse basis (EER) 21 Nr. Onderde el Eis 90 CDN De opdrachtnemer dient realtime inzicht te bieden in: • CDN-performance • Origin load • Cache hit ratio • Throughput • Errors • Geografische distributie • Capaciteitsgebruik • Alle statistieken dienen beschikbaar te zijn via dashboards én REST API's. • Uitgebreide logging • DDoS-bescherming • Web Application Firewall • TLS 1.3 • HTTPS • Signed URL's • Uitgebreide auditlogs • Startup time • Buffer ratio • Exit reasons • Engagement • Concurrent users • Device analytics • Van alle distributieactiviteiten dienen uitgebreide logs beschikbaar te zijn.

Organisaties 8.1 ORG-0001 Officiële naam: St. Nederlandse Lokale Publieke Omroepen Registratienummer: 2282522 Postadres: Media Parkboulevard 1 Stad: Hilversum Postcode: 1217WE Onderverdeling land (NUTS): Het Gooi en Vechtstreek (NL327) Land: Nederland Contactpunt: Bonnie Epema E-mail: info@nlpo.nl Telefoon: +31 358200383 Internetadres: http://www.nlpo.nl Andere contactpunten: Officiële naam: Rechtbank Midden-Nederland locatie Utrecht Publicatie TN-609906 - 9 okt 2026 Pagina 5 van 5 Postadres: Vrouwe Justitiaplein 1 Stad: Utrecht Postcode: 3511EX Onderverdeling land (NUTS): Utrecht (NL350) Land: Nederland E-mail: Klachtencoordinator.RB-MNL@rechtspraak.nl Telefoon: +31 883620000 Internetadres: https://www.rechtspraak.nl/Organisatie-en-contact/Organisatie/Rechtbanken/Rechtbank-MiddenNederland Rollen van deze organisatie: Koper Organisatie die nadere inlichtingen over de aanbestedingsprocedure verstrekt Organisatie die verzoeken tot deelname ontvangt Organisatie voor beroepsprocedures Organisatie die meer informatie geeft over beroepsprocedures Informatie over een aankondiging Identificatiecode/versie van de aankondiging: edf840a3-5439-4b9e-9352-65c294614606 - 01 Type formulier: Mededinging Type aankondiging: Aankondiging van een opdracht of concessie – standaardregeling Verzenddatum van de aankondiging: 09/10/2026 12:48 +02:00 Talen waarin deze aankondiging officieel beschikbaar is: Nederlands Checklist in te dienen documenten In te dienen documenten bij Inschrijving Vindplaats Gunningleidraad Document Maak gebruik van bijlage Paragraaf 6.1 UEA (Uniforme Eigen Verklaring) UEA Paragraaf 6.2.1 Referenties Model formulier indienen referenties Paragraaf 6.2.2 Technische uitrusting n.v.t. Paragraaf 6.2.3 Certificering ISO 27001 Kopie certificaat ISO 27001 certificaat of onderbouwing waarin aangetoond wordt dat de inschrijver haar informatie beveiliging systematisch borgt binnen de eigen organisatie en bij uitvoering van de diensten voor opdrachtgevers van inschrijver SOC type II Kopie SOC II type 2 verklaring of onderbouwing waarin aangetoond wordt dat de inschrijver haar security, availability, confidentiality, processing integrity en privacy systematisch borgt voor haar opdrachtgevers.

6.2.3 Geschiktheidseis: Certificering De inschrijver beschikt over een ISO 27001-certificaat of toont onderbouwd aan dat de inschrijver haar informatiebeveiliging systematisch borgt binnen de eigen organisatie en bij uitvoering van de diensten voor opdrachtgevers van inschrijver.

92 Player, CDN, algemeen Het platform dient volledig te voldoen aan: • AVG/GDPR • NIS2 (waar van toepassing) • ISO 27001 • SOC2 Type II 83 CMS, front end A/B-testen van homepages.

88 Player De player staat voor advertising minimaal toe: • Google IMA • VAST 4.x • VMAP • Client Side Ad Insertion • Server Side Ad Insertion • Google DAI • AdsWizz • Triton Digital • FreeWheel • IAB TCF 2.2 en hoger • Consent Mode v2 89 CDN, Player De CDN en player bieden minimaal: • Restart TV • Adaptive Bitrate Streaming • 99.9% uptime • 500.000 gelijktijdige kijkers en/of luisteraars ondersteunen • Recovery <30 sec na uitval/fail over • Ondersteunt Multi-CDN • Biedt automatische fail-over tussen CDN-netwerken • Intelligente routing op basis van performance en beschikbaarheid • Caching op meerdere niveaus • Biedt origin shielding • Ondersteunt wereldwijde distributie • Heeft een Europees, bij voorkeur, Nederlandse basis (EER) 21 Nr. Onderde el Eis 90 CDN De opdrachtnemer dient realtime inzicht te bieden in: • CDN-performance • Origin load • Cache hit ratio • Throughput • Errors • Geografische distributie • Capaciteitsgebruik • Alle statistieken dienen beschikbaar te zijn via dashboards én REST API's. • Uitgebreide logging • DDoS-bescherming • Web Application Firewall • TLS 1.3 • HTTPS • Signed URL's • Uitgebreide auditlogs • Startup time • Buffer ratio • Exit reasons • Engagement • Concurrent users • Device analytics • Van alle distributieactiviteiten dienen uitgebreide logs beschikbaar te zijn.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

5.1.2 De Inschrijver beschikt over een geldig ISO 27001- of gelijkwaardig certificaat met een toepassingsgebied dat de gehele scope van deze Opdracht dekt.

Van Inschrijvers wordt verwacht dat zij beschikken over aantoonbare ervaring binnen de publieke of semipublieke sector, een stabiele operationele organisatie en passende informatiebeveiliging, waaronder ISO 27001-certificering of gelijkwaardig.

Pagina 4 van 30 Beschrijvend document Mobiliteitskaarten GGDHM & GGDrU Gevraagde documenten, bijlagen en Planning Aan te leveren bij inschrijving Document / Bijlage Toelichting Verklaring omtrent Inschrijving Rechtsgeldig ondertekend Uniform Europees Aanbestedingsdocument (UEA) Volledig ingevuld en ondertekend Referentieblad Aantoonbare relevante ervaring Samenwerkingsverband (indien van toepassing) Bij inschrijving indien sprake van combinatie Verklaring middelen derde (indien van toepassing) Bij beroep op draagkracht derden Verklaring aansprakelijkheid concern (indien van toepassing) Bij hoofdelijke aansprakelijkheid moederbedrijf KvK-uittreksel Niet ouder dan 6 maanden Prijzenblad In Excel én ondertekende PDF Verklaring ontbreken Russische betrokkenheid Rechtsgeldig ondertekend ISO 27001-certificering of gelijkwaardig Bewijs informatiebeveiliging Aan te leveren na voorlopige gunning / verificatie* Bewijsmiddel Toelichting Polis aansprakelijkheidsverzekering Conform inkoopvoorwaarden Verklaring betalingsgedrag Belastingdienst Actueel bewijs fiscale nakoming Gedragsverklaring Aanbesteden (GVA) Niet ouder dan 24 maanden Eventuele aanvullende verificatiestukken Op verzoek Aanbestedende Dienst  Alle verificatiestukken dienen binnen vijf (5) werkdagen na eerste verzoek te worden aangeleverd.

Inschrijver garandeert op alle apparatuur volledige ondersteuning TCP/IPv4 en IPv6, evenals het IEEE 802.1x protocol.

Bewijsmiddelen Inschrijver dient op verzoek van Opdrachtgever middels het in het bezit zijn van een ISO 27001:2015 of soortgelijk certificaat, aan te tonen dat Inschrijver voldoet aan de gestelde minimum eis.

Geldig ISO 27001 certificaat K.O. Eisen t.a.v. Uw Inschrijving 9.

6.2.7 Informatiebeveiliging Mimimumeis Inschrijver voldoet aan de Europese normenreeks ISO 27001:2015 op het gebied van informatiebeveiliging of een gelijkwaardig systeem van borging van de eigen proceskwaliteit, afgegeven door een gecertificeerde instantie als bedoeld in artikel 2.96 van de Aanbestedingswet.

Na voornemen tot gunning: - voor de voorlopige gegunde inschrijver en de betreffende derde entiteiten dienen op verzoek de overige relevante bewijsstukken te worden overlegd, waaronder een Gedragsverklaring Aanbesteden (GVA) en een verklaring van de Belastingdienst. 26-6-2026 Pagina 1 van 4 6 Offerteaanvraag 19 - 20 3.2.3.2 en 3.3 / Scope ISO-certificaat Kunt u bevestigen dat de scope van het ISO 27001-certificaat in dat geval betrekking moet hebben op de ICT-dienstverlening, hosting, applicatiebeheer, informatiebeveiliging en/of gegevensverwerking rondom het verzuimportaal, en niet noodzakelijk op de volledige arbodienstverlening zelf, aangezien de arbodienstverlening onder de certificering en verantwoordelijkheid van de gecertificeerde arbodienst wordt uitgevoerd?

Pagina 5 van 20 42 Offerteaanvraag 19 3.2.3.2 Kwaliteitsborging Gegadigde dient op het moment van indiening te beschikken over een geldige ISO 27001-certificering. Gegadigde beschikt zelf niet over een ISO 27001-certificering, maar binnen de holding zijn meerdere entiteiten wél gecertificeerd.

Daarnaast maakt Gegadigde gebruik van ISO 27001-gecertificeerde software van een leverancier.

De Opdrachtnemer voldoet gedurende de looptijd van de Overeenkomst aantoonbaar aan: • NEN 7510-1:2024, certificering is niet verplicht; • NEN 7510-2:2024; • NEN 7512:2022; • NEN 7513:2024; • ISO/IEC 27001.

Ook gelijkwaardig bewijs wordt geaccepteerd, mits de Inschrijver aantoont dat het alternatieve kwaliteitsmanagementsysteem qua inhoud en werking gelijkwaardig is, waaronder in ieder geval gedocumenteerde procedures, beheersmaatregelen en processen voor continue verbetering. Informatiebeveiliging De Opdrachtnemer voldoet gedurende de looptijd van de Overeenkomst aantoonbaar aan: • NEN 7510-1:2024, certificering is niet verplicht; • NEN 7510-2:2024; • NEN 7512:2022; • NEN 7513:2024; • ISO/IEC 27001; • Of vergelijkbaar aan bovenstaande.

Afhankelijk van de situatie van Inschrijver gaat het om de volgende bewijsstukken: Bewijsstuk 1 Combinatieverklaring (model bijlage 3) Zie paragraaf 3.5.4 A Bewijsstuk 2 Verklaring Beroep op derde(n) (model bijlage 4) Zie paragraaf 3.5.4 B Bewijsstuk 3 Gedragsverklaring Aanbesteden (GVA) Zie paragraaf 4.1.2 Bewijsstuk 4 Verklaring betalingsgedrag belastingen en sociale premies Zie paragraaf 4.1.3 Bewijsstuk 5 Jaarrekening zonder continuïteitsparagraaf Zie paragraaf 4.2.1 A Bewijsstuk 6 Verklaring garantstelling moedermaatschappij (model bijlage 5) Zie paragraaf 4.2.1 A Bewijsstuk 7 Verklaring Financiële draagkracht en continuïteit bedrijfsvoering (model bijlage 6) Zie paragraaf 4.2.1 B Bewijsstuk 8 Bewijs van verzekering Zie paragraaf 4.2.1 C Bewijsstuk 9 Afschrift van het NEN-EN-ISO 9001-certificaat Zie paragraaf 4.2.2 C Bewijsstuk 10 Afschrift van het VCA* EN/OF VCA**-certificaat Zie paragraaf 4.2.2 D Bewijsstuk 11 Afschrift van het Wbpr-certificaat Zie paragraaf 4.2.2 E Bewijsstuk 12 Afschrift van het NEN-EN-ISO/IEC 27001-certificaat Zie paragraaf 4.2.2 E 3.6.7 Termijn verstrekken bewijsstukken De bewijsstukken ter verificatie van de Eigen Verklaring dienen, voor zover deze niet al bij Inschrijving zijn ingediend, binnen zeven (7) kalenderdagen na de verzenddatum van het verzoek tot het verstrekken van de bewijsstukken in bezit van GVB te zijn.

Inschrijver dient in dat verband te voldoen aan onderstaande normen ten aanzien van informatiebeveiliging. Inschrijver dient te beschikken en gedurende de looptijd van de Overeenkomst te blijven beschikken over een informatiebeveiligingsmanagementsysteem dat is gecertificeerd op basis van ISO/IEC 27001 of een gelijkwaardige norm en betrekking heeft op de aard van de Opdracht.

Beveiligings- en receptiediensten Aanbestedingsleidraad refnr 2026-47 Pagina 39 van 47 versie 1.0 definitief Indien Inschrijver nog niet beschikt over een ISO/IEC 27001-certificering of gelijkwaardig certificaat, dient hij bij Inschrijving aan te tonen dat een certificeringstraject is gestart dan wel uiterlijk binnen drie maanden na ingangsdatum van de Overeenkomst wordt gestart. GVB beschouwt certificaten zoals NEN 7510, BIO-conforme certificering en ISO 27701 in ieder geval als gelijkwaardige informatiebeveiligingscertificaten.