TenderNed Standaardenmonitor

8.3 Indien de Verwerker periodiek een verklaring of certificaat (bijv. een ISO 27001-certificaat) van een onafhankelijke deskundige overlegt waaruit blijkt dat de Verwerker voldoet aan de verplichtingen uit de Verwerkersovereenkomst, de AVG en de toepasselijke wetgeving, en er geen aanwijzingen zijn van nietnaleving, is een reguliere audit niet vereist. Deze verklaring of certificaat moet bij het verlopen van de geldigheidsduur worden vernieuwd en opnieuw worden aangeleverd.

Frequentie van de uit te voeren reguliere audit: [SELECTEER ÉÉN OPTIE EN VERWIJDER DE REST. INDIEN ‘NIET VAN TOEPASSING’ WORDT GEKOZEN, SPECIFICEER HET CERTIFICAAT OF DE VERKLARING] o Eens per 2 jaar o Jaarlijks o Niet van toepassing, aangezien de Verwerker periodiek een [naam verklaring of certificaat, bijv. ISO 27001- certificaat] overlegt van een onafhankelijke deskundige waaruit blijkt dat de Verwerker voldoet aan de verplichtingen uit de Verwerkersovereenkomst, de AVG en de toepasselijke wetgeving De door Verwerker ingeschakelde Subverwerkers zijn: Subverwerker (naam en adres) Persoonsgegevens die Subverwerker verwerkt Omschrijving van de reden voor de subverwerking Land van verwerking De doorgiften naar derde landen bij de Verwerking zijn: Doorgifte naar derde landen (naam en adres partij die Persoonsgegevens ontvangt) Doel doorgifte (kostenbesparingen, schaalvoordelen of beveiligingsverbeteringen) Doorgiftemechanisme (bijv. Standard Contractual Clauses) Aanvullende maatregelen naar aanleiding van een doorgifte aan een derde land (indien van toepassing) Contactgegevens: Algemene contactgegevens Naam Functie E-mailadres Telefoonnummer Verwerkingsverantwoordelijke SURF Verwerkersovereenkomst 4.0 – Juni 2025 Page 8 of 12 Verwerker SURF Verwerkersovereenkomst 4.0 – Juni 2025 Page 9 of 12 Bijlage B: Beveiligingsmaatregelen Versienummer XX, datum: [datum] SELECTEER ÉÉN OPTIE EN VERWIJDER DE ANDERE OPTIE 1: Als Verwerker beschikt over certificaten die afdoende zijn Verwerker beschikt over de volgende geldige certificaten of verklaringen van een deskundige derde waaruit blijkt dat Verwerker voldoet aan zijn verplichting de Persoonsgegevens die hij ten behoeve van Verwerkingsverantwoordelijke verwerkt adequaat te beveiligen: Naam of nummer Toepassingsgebied Geldigheidsduur bijv. ISO 27001, NEN 7510, SOC 2 Verwerker draagt ervoor zorg dat hij gedurende deze Verwerkersovereenkomst blijft beschikken over bovenstaande certificaten of een gelijkwaardige opvolger daarvan met een nieuwe geldigheidsduur.

1 Informatiebeveiligings- en privacybeleid Verwerker heeft een informatiebeveiligings- en privacybeleid dat voldoet aan de AVG en eventuele richtsnoeren van de Autoriteit Persoonsgegevens en aansluit op algemene standaarden zoals ISO 27001/2/18, NOREA of CoBIT.

1.3 Normen en voorschriften De opdrachtnemer dient zich te houden aan in volgorde van belangrijkheid aan de volgende normen: • Nederlandse normen van de stichting Nederlands Normalisatie-instituut (NNI) • “Formele beschrijving NLCS (Nederlandse Cad Standaard)”” t.a.v. ontwerp- en tekenwerkzaamheden Daar waar nodig wordt verwezen naar de geldende NEN-normen en “Formele beschrijving NLCS”.

NLCS staat voor de Nederlandse CAD Standaard voor de GWWsector.

De laatste versie “Formele beschrijving NLCS” met de bijbehorende bibliotheken kan verkregen worden via: http://www.nlcs-gww.nl.

Informatiebeveiliging U wordt gevraagd een beschrijving te geven van de processen en procedures rondom informatiebeveiliging die binnen uw organisatie wordt toegepast. Deze processen en procedures dienen overeenkomstig het niveau van ISO 27001 of gelijkwaardig te zijn.

Als u beschikt over een geldig en door een daartoe bevoegde instantie afgegeven ISO 27001- certificaat (of gelijkwaardig) hoeft u geen beschrijving te geven van de wijze van informatiebeveiliging zoals hierboven bedoeld.

Deze beschrijving, waarmee u aantoonbaar maakt dat de processen en procedures overeenkomstig het niveau van ISO 27001 of gelijkwaardig zijn, dient minimaal de volgende onderdelen te bevatten: ▪ De beleidsuitgangspunten van de organisatie rondom informatiebeveiliging; ▪ Beschrijving van de processen rondom het beveiligen van informatie; ▪ Relevante procedures voor behandeling van afwijkingen/verstoringen; ▪ Relevant proces rondom changemanagement; ▪ Methode van (zelf)evaluatie en maatregelen ter verbetering; ▪ Een door het management of de directie getekende verklaring waaruit blijkt dat het management of de directie deze beschrijving en werkwijze onderschrijft en controleert.

Uw ISO 27001 certificaat of uw kwaliteitshandboek, volgens paragraaf 14 van de offerteaanvraag.

Reden: de huidige titel "NIS2 & Cbw" dekt de lading onvoldoende en suggereert dat het artikel uitsluitend ziet op de twee genoemde wetten, terwijl het artikel bredere normen omvat (o.a. NEN7510, ISO 27001/27701/27799, AVG).

Deze bepaling geldt onverminderd de eisen en maatregelen uit NEN7510, ISO 27001, 27701 en 27799 en de AVG.

Opdrachtnemer meldt het verlies van de ISO 27001 certificering direct bij opdrachtgever.

Zijn de certificeringen zoals NEN7510 en ISO 27001 niet voldoende om bij dit punt aan te kunnen tonen dat wij onze beveiliging en bijbehorde beleid op orde hebben?

Bewijs bedrijfsaansprakelijkheidsverzekering Zie paragraaf 3.2.2.1 Bewijs stabiliteit Zie paragraaf 3.2.2.2 Certificaten kwaliteitsborging ISO 27001 Zie paragraaf 3.2.3.2 In hoofdstuk 3 staat beschreven welke bewijsmiddelen ten aanzien van de uitsluitingsgronden en de geschiktheidseisen moeten worden ingediend door derden in geval een beroep wordt gedaan op een derde of wanneer als combinatie wordt ingeschreven.

Indien BIO2 nog niet formeel van kracht is, volstaat aantoonbare compliance met ISO 27001:2022, eventueel in combinatie met BIO (huidige versie) en aanvullende assurance (zoals ISAE 3402 Type II), om aan deze eis te voldoen?

14.2 Opdrachtnemer verleent Opdrachtgever op verzoek redelijke medewerking aan audits, reviews en verificatieverzoeken met betrekking tot de naleving van de verplichtingen uit deze Raamovereenkomst. 14.3 Opdrachtnemer toont de naleving van zijn verplichtingen aan via een of meer van de volgende bewijsmiddelen: ISO 27001:2022-certificering of BIO-beheersmaatregelen, CRA-compliance documentatie en fabrikantverklaringen, assurancerapportages (ISAE 3402 of vergelijkbaar), testresultaten en procesdocumentatie, chain-of-custody registraties, incidentrapportages en/of een SBOM (indien van toepassing).

Daartoe beschikt Opdrachtnemer minimaal over aantoonbare beheersmaatregelen conform ISO 27001:2022 en BIO2.

78 Grafische dienstverlening Bijlage 06 Algemene inkoopvoorwaarden van NFU Erasmus MC artikel 16.6 Inschrijver beschikt uitsluitend over ISO 27001 certificering. Kunt u bevestigen dat dit gezien de uitgevraagde Prestatie voldoende is?

- ISO 9001:2015 – Kwaliteitsmanagement - ISO 14001:2015 – Milieumanagement - ISO 27001:2023 – Informatiebeveiliging (van toepassing uitsluitend op perceel 2) Inschrijver dient de volgende bewijsstukken binnen 10 werkdagen na gunningsbeslissing te overleggen: Offerteleidraad Grafische dienstverlening/ Print- en drukwerk – Erasmus MC 29 - Een kopie van de meest recente, geldende kwaliteitscertificaten NEN/ISO 9001:2015 met vermelding van het jaar van invoering en expiratie, afgegeven door een gecertificeerde instantie als bedoeld in artikel 3.17.1 Arw, en; - Een kopie van de meest recente, geldende kwaliteitscertificaten NEN/ISO 14001:2015 met vermelding van het jaar van invoering en expiratie, afgegeven door een gecertificeerde instantie als bedoeld in artikel 3.17.1 Arw, en; - In het geval van perceel 2, een kopie van de meest recente, geldende kwaliteitscertificaten NEN/ISO 27001:2023 met vermelding van het jaar van invoering en expiratie, afgegeven door een gecertificeerde instantie als bedoeld in artikel 3.17.1 Arw, of; In het geval er sprake is van een gelijkwaardig gecertificeerd kwaliteitsborgingsysteem gebaseerd op een andere norm dan één van de bovenstaande: - Een kopie certificaat van de gecertificeerde instantie als bedoeld in artikel 3.17.1 Arw en een onderbouwde toelichting waaruit blijkt op welke punten en in welke mate het systeem overeenkomt en/of afwijkt van het van toepassing zijnde NEN/ISO systeem.

Onderdeel Bij Inschrijving Binnen tien (10) werkdagen na de gunningsbeslissing Uitsluitingsgronden  UEA(‘s)  Volmachten, statuten, e.d. (indien van toepassing)  Gedragsverklaring Aanbesteden  Verklaring van de Belastingdienst  Verklaring Russische betrokkenheid Geschiktheidseisen  KvK uittreksel(s)  Referentieverklaring(en)  Verklaring(en) derde (indien van toepassing)  Polis bedrijfsaansprakelijkheidsverzekering  Accountantsverklaring  ISO 9001:2015 certificering  ISO 14001:2015 certificering  ISO 27001:2023 certificering (perceel 2) Gunningscriteria  Uitwerking kwalitatieve subgunningscriteria  Prijzenblad Offerteleidraad Grafische dienstverlening/ Print- en drukwerk – Erasmus MC 39 Hoofdstuk 7.

1.4.3.3 Informatiebeveiliging Gegadigde beschikt over een deugdelijk managementsysteem voor informatiebeveiliging, inclusief een verklaring van toepasselijkheid die valt binnen de scope van de af te nemen dienst of levering en toont dit aan middels het volgende certificaat:  ISO 27001:2023 (Informatiebeveiliging) of;  Een certificaat van gelijkwaardigheid, afgegeven door een onafhankelijke en daartoe bevoegde instantie, of;  Gelijkwaardig, aan te tonen door Gegadigde.

Hier wordt in ieder geval onder verstaan: ISO 27001/2 of, in gevallen waarin door Leverancier persoonlijke gezondheidsinformatie wordt verwerkt van of ten behoeve van Opdrachtgever: NEN 7510, 7512 en 7513 dan wel een daarmee gelijkstaande internationale standaard.

Informatiebeveiliging Gegadigde beschikt over een deugdelijk managementsysteem voor informatiebeveiliging, inclusief een verklaring van toepasselijkheid die valt binnen de scope van de af te nemen dienst of levering en toont dit aan middels het volgende certificaat: ISO 27001:2023 (Informatiebeveiliging) of; Een certificaat van gelijkwaardigheid, afgegeven door een onafhankelijke en daartoe bevoegde instantie, of; Gelijkwaardig, aan te tonen door Gegadigde.

 Stuur dit overzicht niet op, maar de export in SETU formaat.