TenderNed Standaardenmonitor

Vervolg bijlage 1: Getroffen beveiligingsmaatregelen OPTIE 1: Als Verwerker beschikt over certificaten die afdoende zijn ISO 27001 NEN 7510 SOC 2 Toepassingsgebied .....

OPTIE 2: Als Verwerker niet beschikt over certificaten die afdoende zijn Onderwerp Maatregel Toelichting Informatiebeveiligings- en privacybeleid Verwerker heeft een informatiebeveiligings- en privacybeleid dat voldoet aan de AVG en eventuele richtsnoeren van de Autoriteit Persoonsgegevens en aansluit op algemene standaarden zoals ISO 27001/2/18, NOREA of CoBIT.

Het leeraanbod moet voldoen aan de volgende eisen: - Het leeraanbod is toegankelijk en inclusief ontworpen voor alle deelnemers, ongeacht culturele achtergrond, gender, neurodiversiteit, levensfase of beperking. Dit geldt voor zowel digitale als niet-digitale onderdelen van het programma: - Digitale leermodules, e-learningcontent en online tools voldoen aan de toegankelijkheidsstandaard WCAG 2.1 niveau AA.

8.3 Indien de Verwerker periodiek een verklaring of certificaat (bijv. een ISO 27001-certificaat) van een onafhankelijke deskundige overlegt waaruit blijkt dat de Verwerker voldoet aan de verplichtingen uit de Verwerkersovereenkomst, de AVG en de toepasselijke wetgeving, en er geen aanwijzingen zijn van nietnaleving, is een reguliere audit niet vereist. Deze verklaring of certificaat moet bij het verlopen van de geldigheidsduur worden vernieuwd en opnieuw worden aangeleverd.

Frequentie van de uit te voeren reguliere audit: [SELECTEER ÉÉN OPTIE EN VERWIJDER DE REST. INDIEN ‘NIET VAN TOEPASSING’ WORDT GEKOZEN, SPECIFICEER HET CERTIFICAAT OF DE VERKLARING] o Eens per 2 jaar o Jaarlijks o Niet van toepassing, aangezien de Verwerker periodiek een [naam verklaring of certificaat, bijv. ISO 27001- certificaat] overlegt van een onafhankelijke deskundige waaruit blijkt dat de Verwerker voldoet aan de verplichtingen uit de Verwerkersovereenkomst, de AVG en de toepasselijke wetgeving De door Verwerker ingeschakelde Subverwerkers zijn: Subverwerker (naam en adres) Persoonsgegevens die Subverwerker verwerkt Omschrijving van de reden voor de subverwerking Land van verwerking De doorgiften naar derde landen bij de Verwerking zijn: Doorgifte naar derde landen (naam en adres partij die Persoonsgegevens ontvangt) Doel doorgifte (kostenbesparingen, schaalvoordelen of beveiligingsverbeteringen) Doorgiftemechanisme (bijv. Standard Contractual Clauses) Aanvullende maatregelen naar aanleiding van een doorgifte aan een derde land (indien van toepassing) Contactgegevens: Algemene contactgegevens Naam Functie E-mailadres Telefoonnummer Verwerkingsverantwoordelijke SURF Verwerkersovereenkomst 4.0 – Juni 2025 Page 8 of 12 Verwerker SURF Verwerkersovereenkomst 4.0 – Juni 2025 Page 9 of 12 Bijlage B: Beveiligingsmaatregelen Versienummer XX, datum: [datum] SELECTEER ÉÉN OPTIE EN VERWIJDER DE ANDERE OPTIE 1: Als Verwerker beschikt over certificaten die afdoende zijn Verwerker beschikt over de volgende geldige certificaten of verklaringen van een deskundige derde waaruit blijkt dat Verwerker voldoet aan zijn verplichting de Persoonsgegevens die hij ten behoeve van Verwerkingsverantwoordelijke verwerkt adequaat te beveiligen: Naam of nummer Toepassingsgebied Geldigheidsduur bijv. ISO 27001, NEN 7510, SOC 2 Verwerker draagt ervoor zorg dat hij gedurende deze Verwerkersovereenkomst blijft beschikken over bovenstaande certificaten of een gelijkwaardige opvolger daarvan met een nieuwe geldigheidsduur.

1 Informatiebeveiligings- en privacybeleid Verwerker heeft een informatiebeveiligings- en privacybeleid dat voldoet aan de AVG en eventuele richtsnoeren van de Autoriteit Persoonsgegevens en aansluit op algemene standaarden zoals ISO 27001/2/18, NOREA of CoBIT.

Informatiebeveiliging Op de uiterste datum voor het indienen van de Aanmelding dient de Gegadigde te beschikken over een geldig ISO/IEC 27001:2022- certificaat of een gelijkwaardig certificaat of bewijs.

een kopie van een geldig ISO/IEC 27001:2022-certificaat, afgegeven door een daartoe geaccrediteerde onafhankelijke certificerende instelling, waarop ten minste de certificeringsscope en de geldigheidsduur zijn vermeld; of 2.

De Gegadigde dient daarbij gemotiveerd aan te tonen dat de getroffen maatregelen gelijkwaardig zijn aan de maatregelen die op grond van ISO/IEC 27001:2022 worden verlangd.

Voor ISO 9001 en ISO/IEC 27001 geldt dat de Gegadigde zowel in het UEA verklaart dat aan de betreffende Geschiktheidseis wordt voldaan als het bijbehorende certificaat of gelijkwaardige bewijs bij de Aanmelding toevoegt.

☐ ISO/IEC 27001-certificaat of gelijkwaardig bewijs Ja.

Als afzonderlijk bewijsstuk via TenderNed toevoegen aan de Aanmelding. Een geldig ISO/IEC 27001-certificaat waarvan het toepassingsgebied van het ISMS aantoonbaar relevant is voor de activiteiten die de Gegadigde voor deze Opdracht uitvoert, of een overeenkomstig hoofdstuk 4 toegestaan gelijkwaardig bewijs.

Om die reden zijn een ISO 27001-certificering, een verwerkersovereenkomst en/of een addendum inzake informatiebeveiliging niet van toepassing. De verzekeringseis blijft echter wel van kracht.

Digitale toegankelijkheid; het klantportaal is toegankelijk voor alle gebruikers en voldoet minimaal aan WCAG 2.1 niveau AA.

Certificeringen De marktpartijen geven aan te beschikken over verschillende certificeringen en standaarden op het gebied van informatiebeveiliging, kwaliteitsmanagement en IT-dienstverlening. Veelgenoemde certificeringen zijn ISO 27001 en ISO 9001.

Sommige partijen geven aan dat aanvullende certificeringen, zoals ISO 27001, momenteel in voorbereiding zijn.

In te dienen bewijsmiddelen bij Verzoek tot deelneming Bewijsmiddel Geldigheidstermijn Uniform Europees Aanbestedingsdocument (UEA)* Meest recent Bijlage 2 - Referentieformulier Geschiktheidseis Niet van toepassing Bijlage 3 - Referentieformulier Selectiecriterium S1 Niet van toepassing ISO 9001:2015 certificaat of gelijkwaardig (ten behoeve van Selectiecriterium S2) Bewijsmiddel moet geldig zijn op moment van Aanmelding Uittreksel KvK 6 maanden, gerekend vanaf uiterste datum indiening Verzoek tot deelneming Op verzoek aan te leveren bewijsmiddelen (binnen 10 kalenderdagen) na verzoek Bewijsmiddel Geldigheidstermijn GVA 2 jaar, gerekend vanaf uiterste datum indiening Inschrijving Verklaring Belastingdienst 6 maanden, gerekend vanaf uiterste datum indiening Inschrijving 25 Selectieleidraad Europees niet-openbare aanbesteding ‘Vernieuwing van het Klantportaal’ Kenmerk: TN 600608 Verklaring Belastingdienst 6 maanden, gerekend vanaf uiterste datum indiening Inschrijving Verzekeringspolis of -certificaat Bewijsmiddel moet geldig zijn op moment van Inschrijving Aanmelding ISO 27001:2022 certificaat, / ISAE3402 of gelijkwaardig Bewijsmiddel moet geldig zijn op moment van Inschrijving Aanmelding * Voor het invullen van het ‘Uniform Europees Aanbestedingsdocument’ dient deze te zijn geopend met Acrobat Reader.

The Counterparty ensures that the SSO solution complies with relevant industry standards, including protocols such as SCIM, SAML 2.0 and OAuth 2.0.

34 Reliance on standard assurance reporting Can Enexis confirm that commonly accepted third-party assurance materials such as ISO 27001 certifications, SOC 2 Type II reports, ISAE 3402 reports, penetration-test attestations and completed security questionnaires will be considered before requesting dedicated supplier audits?

No, the Tenderer must have an information security management system that meets the requirements of ISO 27001 (or equivalent).

The Other Party will install and implement the ICT Solution in accordance with the ISO 27001 standard (or equivalent) - insofar as necessary - develop and maintain it and keep it available for the Intended Use in accordance with the latest versions of the OWASP standards or the ICT-Security Guidelines from the NCSC (Nationaal Cyber Security Centrum) (or equivalent).

D13 Leverancier voldoet bij inzet van AI aan de verplichtingen die voortvloeien uit de Europese AI-verordening (EU 2024/1689), voor zover van toepassing op de aangeboden oplossing. Nr. Categorie: F. Toegankelijkheid F1 De door Leverancier aangeboden oplossing voldoet aan de WCAG 2.1 (Web Content Accessibility Guidelines) richtlijnen.

K4 Communicatie tussen de aangeboden oplossing en externe systemen via koppelingen of API’s is versleuteld (bijvoorbeeld via HTTPS/TLS).

D11 Leverancier beschikt gedurende de gehele looptijd van de overeenkomst over een aantoonbaar geïmplementeerd en onderhouden managementsysteem voor informatiebeveiliging conform ISO 27001 (laatst geldende versie).

Transport en beveiliging • De JSON‐koppeling moet gebruikmaken van beveiligde transportprotocollen zoals HTTPS (moderne TLS‐versies).

Transport en beveiliging • De JSON‐koppeling moet gebruikmaken van beveiligde transportprotocollen zoals HTTPS (moderne TLS‐versies).

IPv6 wordt niet ondersteund.

IPv6 wordt niet ondersteund.

• Het informatiesysteem van de Opdrachtnemer (waar de informatie van Amsterdam UMC in worden verwerkt) voldoet aantoonbaar aan de eisen voor NEN-EN-ISO/IEC 27001:2023 (Managementsysteem voor informatiebeveiliging, cybersecurity en bescherming van de privacy).

Binnen 10 dagen na mededeling van de voorlopige gunning dient de gegunde partij de volgende documenten te tonen: - GVA; (Eis 11 TN (TenderNed)) - Verklaring van de Belastingsdienst; (Eis 12 TN) - Bewijs van aansprakelijkheidsverzekering; (Eis 3 TN en bijlage B 1.1) - Bewijs van kwaliteitsmanagementsysteem ISO 9001 of gelijkwaardig;(Eis 4 TN en bijlage B 1.2) - Bewijs van milieumanagementsysteem; (Eis 5 TN en bijlage B 1.3) - Een geldig ISO 27001-certificaat (of een vergelijkbare specifieke norm voor cloud/software zoals ISO 27017 / ISO 27018), dat is afgegeven door een onafhankelijke, geaccrediteerde certificatie-instelling. (Eis 13 TN) 4.3 Beoordeling gunningscriteria Gunning zal plaatsvinden op basis van het gunningscriterium beste prijs-kwaliteitverhouding op basis van de volgende subgunningscriteria: Subgunningscriteria Inhoud van het subgunningscriterium Wegings- Maximale 18 van 21 Factor Punten Kwaliteit 70% 700 1 Patiëntveiligheid 35% 245 2 Uniformiteit in dienstverlening 25% 175 3 Koppeling planbord verpleging en organisatie 10% 70 4 Beleving 25% 175 5 Kwaliteitsgarantie 5% 35 Prijs 30% Prijsblad De gehanteerde prijsstelling en overige kosten 300 Totaal 100% De kwaliteit van de dienstverlening van de inschrijvers wordt (mede) beoordeeld aan de hand van open vragen (Bijlage F).

• Het informatiesysteem van de Opdrachtnemer (waar de informatie van Amsterdam UMC in worden verwerkt) voldoet aantoonbaar aan de eisen voor NEN-EN-ISO/IEC 27001:2023 (Managementsysteem voor informatiebeveiliging, cybersecurity en bescherming van de privacy).

Beschrijving IEEE 802.1x WPA2-Enterprise authenticatie en autorisatie is op verschillende manieren mogelijk.

De voorkeur gaat uit naar gebruik van: 1a – PEAP-MSCHAPv2 1b – EAP-TLS Alleen als WPA2-Enterprise niet mogelijk is, mag met toestemming gebruikgemaakt worden van WPA2-Personal (PSK).

Beschrijving IEEE 802.1x WPA2-Enterprise authenticatie en autorisatie is op verschillende manieren mogelijk.

Het gaat om de volgende documenten: • Een kopie van het uittreksel uit het beroeps-of handelsregister, dat op het tijdstip van het indienen van de inschrijving niet ouder is dan zes maanden (reeds verstrekt bij inschrijving); • Een gedragsverklaring aanbesteden (hierna te noemen ‘GvA’) zoals bedoeld in artikel 4.1 van de Aanbestedingswet 2012, die op het tijdstip van het indienen van de inschrijving niet ouder is dan twee jaar; • Een verklaring omtrent betalingsgedrag nakoming fiscale verplichtingen van de belastingdienst (hierna te noemen ‘verklaring belastingdienst’), die op het tijdstip van het indienen van de inschrijving, niet ouder is dan zes maanden; • Een kopie van een geldige verzekeringspolis of een verklaring van verzekeraar waaruit blijkt dat inschrijver ten tijde van de inschrijving adequaat verzekerd is tegen bedrijfs-/ en beroepsaansprakelijkheid; • Een kopie van een geldige ISO 9001 of gelijkwaardige certificering; • Een kopie van een geldige ISO 14001 of gelijkwaardige certificering; • Een kopie van een geldige ISO 27001 of gelijkwaardige certificering. Let op: vraag de bewijsstukken (GvA bij dienst Justis en verklaring belastingdienst bij de Belastingdienst) tijdig aan, het aanvragen van de bewijsstukken neemt enige tijd in beslag.

Informatiebeveiliging Inschrijver beschikt op moment van inschrijving over een ISO 27001 certificering voor informatiebeveiliging of een vergelijkbare certificering. Aanbestedende dienst aanvaardt een kopie van de ISO 27001-certificering als bewijs van het voldoen aan deze eis, met inachtneming van het bepaalde in artikel 2.96 van de Aanbestedingswet.