TenderNed Standaardenmonitor

3.1.1 Request-Response Model Request-Response transactions can be performed only over an HTTP or HTTPS connection.

The one type of transaction that uses one-way HTTP communication is GetPendingRequest. HTTPS is preferred, because it encrypts transmitted data for security.

 Note All cXML documents sent through the Internet can travel through SSL (Secure Socket Layer) 3.0- encrypted HTTPS connections.

Opdrachtnemer beschikt gedurende de looptijd van de overeenkomst over aantoonbaar geborgde kwaliteitsmanagement, conform ISO 9001 of gelijkwaardig, milieumanagement, conform ISO 14001 of gelijkwaardig en informatiebeveiliging, conform ISO/IEC 27001 of gelijkwaardig Opdrachtnemer en zijn medewerkers leven tijdens werkzaamheden op UM-locaties de geldende UM-huisregels en veiligheidsinstructies na.

Ter controle van de genomen beveiligingsmaatregelen zal Verwerker [tenminste eens per 2 jaar een ISO 27001 / SOC2 of C5:2 audit laten uitvoerenen/tenminste eens per jaar een pentest uit laten voeren] aan Verwerkingsverantwoordelijke op eerste verzoek een rapportage sturen waarin de genomen actuele beveiligingsmaatregelen staan en de eventuele aandachts- en/of verbeterpunten.

Deel 1: Informatiebeveiligingsnorm  De Verwerker hanteert de volgende informatiebeveiligingsnorm (kruis aan wat van toepassing is):  ☐ ISO 27001  ☐ ISAE 3402  ☐ ISO 27701  ☐ PCI-DSS ☐ SOC 2 Type I ☐ SOC 2 Type II  ☐ BSI C5 ☐ CSPN (Certification de securité de premier niveau) certification ☐ Anders, namelijk: …..

Informatiebeveiliging (ISO 27001 of gelijkwaardig Maatregelen inzake informatiebeveiliging Inschrijver dient te beschikken over een hoogwaardig systeem voor informatie en databeveiliging. Hiertoe dient Inschrijver te beschikken over een geldig ISO 27001-certificaat of gelijkwaardig certificaat waaruit blijkt dat haar organisatie en haar storage(locaties) voldoen aan de daarin gestelde hoogwaardige beveiligingseisen.

De inschrijver dient minimaal te beschikken over de volgende cerƟficeringen of aantoonbaar gelijkwaardige normen:  ISO 9001 voor kwaliteitsmanagement;  ISO 14001 voor milieumanagement;  ISO/IEC 27001 voor informatiebeveiligingsmanagement.

Deze versleuteling moet worden geïmplementeerd met een encryptieprotocol dat op minimaal TLS 1.2 (of een vergelijkbaar encryptieprotocol).

De door Verwerker ingeschakelde Subverwerkers zijn: Subverwerker (naam incl. plaats van vestiging) Persoonsgegevens die Subverwerker verwerkt Omschrijving van de reden voor de subverwerking Land van verwerking en relevant doorgifte-instrument De doorgiften naar derde landen bij de Verwerking zijn: Doorgifte naar derde landen (naam partij + welk derde land) Doel doorgifte (kostenbesparingen, schaalvoordelen of beveiligingsverbeteringen) Doorgifte-instrument Aanvullende maatregelen naar aanleiding van een doorgifte aan een derde land (indien van toepassing) Contactgegevens: Algemene contactgegevens Naam Functie E-mailadres Telefoonnummer Verwerkingsverantwoordelijke Verwerker Datum bijlage: [DATUM] Bijlage B: Beveiligingsmaatregelen HIER ZIJN 2 OPTIES MOGELIJK, KEUZE IS VEREIST OPTIE 1: Als Verwerker beschikt over certificaten die afdoende zijn Verwerker beschikt over de volgende geldige certificaten of verklaringen van een deskundige derde waaruit blijkt dat Verwerker voldoet aan zijn verplichting de Persoonsgegevens die hij ten behoeve van Verwerkingsverantwoordelijke verwerkt adequaat te beveiligen: Naam of nummer Toepassingsgebied Geldigheidsduur bijv. ISO 27001, NEN 7510, SOC 2 Verwerker draagt ervoor zorg dat hij gedurende deze Verwerkersovereenkomst blijft beschikken over bovenstaande certificaten of een gelijkwaardige opvolger daarvan met een nieuwe geldigheidsduur.

# Onderwerp Maatregel Toelichting 1 Informatie-beveiligings- en privacybeleid Verwerker heeft een informatiebeveiligings- en privacybeleid dat voldoet aan de AVG en eventuele richtsnoeren van de Autoriteit Persoonsgegevens en aansluit op algemene standaarden zoals ISO 27001/2/18, NOREA of CoBIT.

2.6 Toegangsbeheer en Authenticatie: Ten aanzien van identificatie en authenticatie gelden specifieke eisen: • Multi-factor authenticatie (MFA): Ondersteuning voor MFA • Single Sign-On (SSO): Ondersteuning voor inlog via SurfConext (SAML 2.0) • Rolgebaseerde toegang: Mogelijkheid tot gedetailleerd rechtenbeheer • Logging van toegang: Audittrails van alle toegang tot persoonsgegevens (minimaal 12 maanden) • Automatische uitlog: Sessies verlopen na inactiviteit (configureerbaar) 2.7 Netwerk- en Applicatiebeveiliging: Beschermende maatregelen (geïmplementeerd en onderhouden): • Firewalls: Implementatie van firewalls en intrusion detection/prevention systemen • SOC Siem oplossing tbv detectie afwijkend gedrag en snelle incident response bij kritieke incidenten • DDoS-bescherming: Maatregelen tegen distributed denial of service aanvallen • Secure development: Toepassing van secure coding practices (bijv. OWASP Top 10) • API-beveiliging: Authenticatie en encryptie van API's 2.8 Crypto Agility: Leverancier is bewust van de risico's van quantumcomputing voor informatiebeveiliging en verplicht zich ertoe om in de geleverde diensten/producten de transitie naar quantumveilige cryptografie (PostQuantum Cryptography) proactief te managen, conform de richtlijnen van het NCSC en NIST. • Leverancier kan op verzoek een actueel 'Quantum Readiness Plan' of roadmap overleggen met inzicht in de kwetsbaarheden van hun huidige cryptografische assets en de planning voor de transitie naar PQC • Patches en upgrades voor nieuwe PQC-standaarden worden tijdig en zonder extra kosten doorgevoerd • Systemen met gevoelige of langlopende data, hebben hybride cryptografie (combinatie van klassieke en PQCalgoritmen) geïmplementeerd om te beschermen tegen 'Harvest Now, Decrypt Later'-aanvallen" 3.

Beveiligingsstandaarden: Inschrijver garandeert dat zij beschikt over passende technische en organisatorische beveiligingsmaatregelen conform algemeen erkende standaarden, waaronder ten minste één van de volgende: ISO/IEC 27001,SOC2 Type II of vergelijkbare norm.

TenneT veiligheidsbrochures; Safety & Health Voorschriften gemeenten en plaatselijke leidingverordeningen ISO 27001; ISO/IEC 27001:2022 - Information security management systems ISO14001; ISO 14001:2015 - ISO 14001 - Environmental management systems BRL 7000; BRL SIKB 7000 Uitvoering van (water)bodemsaneringen en ingrepen in de waterbodem - SIKB CKB; CKB: Borging kwaliteit ondergrondse infra Stedin Zakelijk Complex Programma van Eisen STN - Technisch Programma van Eisen v1.3 78 VCA**; VCA Safety culture ladder trede 3; SCL - Safety Culture Ladder 13.14.

Gegadigde en elke eventuele uitvoerende Combinant en -Derde dient te beschikken over de volgende managementsystemen: - Kwaliteitsmanagementsysteem op basis van NEN-EN-ISO 9001:2015 - Milieumanagementsysteem op basis van NEN-EN-ISO 14001:2015 - Informatiebeveiligingsmanagementsysteem op basis van NEN-EN-ISO 27001:2017 - Veiligheidssysteem op basis van VCA** 2017/6.0 (en VCA* voor onderaannemers) Als bewijs dat Gegadigde voldoet aan deze eis volstaat in eerste instantie de Eigen Verklaring van de Gegadigde, en dient op verzoek het volgende bewijs te worden aangeleverd: - een kopie van een geldig ISO 9001:2015- certificaat, of gelijkwaardig - een kopie van een geldig ISO 14001:2015-certificaat, of gelijkwaardig - een kopie van een geldig ISO 27001:2017-certificaat, of gelijkwaardig - een kopie van een geldig VCA** 2017/6.0-certificaat (en VCA* voor onderaannemers), of gelijkwaardig Yes/No question - KO Yes No KO 7.2.7.

4.3 ORGANISATORISCHE EISEN 11 Tabel 4-6 4-3-1 Managementsystemen Eis Gegadigde en elke eventuele uitvoerende Combinant en -Derde dient te beschikken over de volgende managementsystemen: A. Kwaliteitsmanagementsysteem op basis van NEN-EN-ISO 9001:2015 B. Milieumanagementsysteem op basis van NEN-EN-ISO 14001:2015 C. Informatiebeveiligingsmanagementsysteem op basis van NEN-EN-ISO 27001:2017 D. Veiligheidssysteem op basis van VCA** 2017/6.0 (en VCA* voor onderaannemers) Bewijslast Als bewijs dat Gegadigde voldoet aan deze eis volstaat in eerste instantie de Eigen Verklaring van de Gegadigde, en dient op verzoek het volgende bewijs te worden aangeleverd: • Een kopie van een geldig ISO 9001:2015- certificaat, of gelijkwaardig.

Ten aanzien van de oplevering moeten de volgende gegevens (niet gelimiteerd) aangeleverd worden: • Bonnen stortkosten; • PV-staten; Stedin Zakelijk Complex Programma van Eisen STN - Technisch Programma van Eisen v1.3 13 • Digitale revisietekeningen in DWG- of DXF-formaat, inclusief een x-y-z coördinatenlijst voldaan aan de NLCS standaard; • Mofschetsen; • Testrapporten; • Goederen ontvangstbonnen; • Goederen retourbonnen; • Straatwerkbonnen.

De digitale revisietekening dient te voldoen aan de volgende eisen, niet limitatief: 1) Bevat ingetekend alle conform het inmeetprotocol gemeten meetpunten; 2) Vergezeld van een x-y-z coördinatenlijst van alle meetpunten met per meetpunt het ingemeten object; 3) Ook de meetpunten naast de geul ter bepaling van hoogte maaiveld dienen in de tekening en coördinatenlijst vermeld te staan; 4) De in te meten objecten zijn: a. De glasvezel beschermbuis; b. Klemkoppelingen van de glasvezel beschermbuis; c. Verbindingsmoffen voor de geleidebuis koppelingen; d. Handholes, zowel bestaand als nieuw geplaatst; e. Mantelbuizen al of niet in boringen, met het werkelijke begin- en eindpunt en tussengelegen geografische ligging in het platte vlak; 5) Afwijkende diepte in de ligging van de glasvezel beschermbuis dient van begin tot eind weergegeven te zijn met in het bijschrift te genomen maatregel (PE-afdekband); 6) Dit geldt evenzo voor afwijkende diepte van verbindingsmoffen en handholes; 7) In het bijschrift van de glasvezel beschermbuis dient per buisdeel vermeld te worden: a. Het routenummer; b. Het aantal ingeblazen geleidebuisjes met diameter en kleuren; c. Specificatie van de ingeblazen glasvezelkabel met kleur van de gebruikte geleidebuis; 8) De (laag)opbouw en tekenwijze van de revisietekening dient te voldoen aan de NLCS standaard.

2.10.31 De applicatie moet Single Sign-On (SSO) ondersteunen via Microsoft Entra ID met gebruik van OIDC (OpenID Connect) en/of SAML (Security Assertion Markup Language) voor authenticatie.

2.10.12 Emailservers moeten de authenticiteit van e-mails valideren met SPF en DKIM.

Als deze validatie faalt, is de DMARC-policy leidend.

Bij afwezigheid van een DMARC-record moet de e-mail in quarantaine worden geplaatst. 2.10.13 Cryptografische maatregelen Voor encryptie in transport moet Transport Layer Security (TLS) worden gebruikt voor het beveiligen van verbindingen.

48.3 In aanvulling op artikel 9 garandeert Opdrachtnemer ingeval van het beschikbaar stellen van Software en/of Clouddiensten aan Stedin dat: a. Opdrachtnemer passende organisatorische beveiligingsmaatregelen geïmplementeerd houdt om de beschikbaarheid, integriteit en vertrouwelijkheid te waarborgen van de gegevens die met behulp van de Software of Clouddiensten worden verwerkt, conform de norm ISO 27001, dan wel een daarvoor nader overeen te komen gelijkwaardige normering; b. de Software en/of de Clouddienst geen “achterdeur”, “drop dead device”, “time bomb”, “Trojan horse”, “virus” of “worm” (of dergelijke termen die gewoonlijk worden gehanteerd binnen de softwareindustrie) of andere code bevat die is ontworpen of is bestemd om een van de volgende functies te hebben: (i) het verstoren, buiten werking stellen, beschadigen of anderszins belemmeren op welke manier dan ook van de werking van, of ongeoorloofde toegang verlenen tot een computersysteem of netwerk of een ander apparaat waarop dergelijke code wordt gebruikt, opgeslagen of geïnstalleerd, of (ii) beschadiging of vernietiging van gegevens of bestanden zonder toestemming van de gebruiker; c. de Software en/of de Clouddienst is ontwikkeld conform de normen OWASP of de ICT-Beveiligingsrichtlijnen voor Webapplicaties van het NCSC, dan wel een nader overeen te komen gelijkwaardige normering, om te waarborgen deze vrij is van beveiligingsproblemen; d. de Clouddiensten zjin voorzien van deugdelijke identificatie, authenticatie en autorisatie om bevoegde gebruikers toegang te bieden en onbevoegden buiten te houden; e. indien Opdrachtnemer niet de rechthebbende van de Standaardsoftware of de Clouddiensten is, zij door rechthebbende is gemachtigd om namens deze Gebruiksrechten aan derden te verschaffen.

2.9.28 Opdrachtnemer levert jaarlijks een derde-partijverklaring (“third party memorandum”), bijvoorbeeld ISO 27001, ISO 27017, ISAE 3402, SSAE 16 of SOC 2, of een hiermee gelijkwaardige verklaring (niet ouder dan één jaar), in directe relatie tot de aan Stedin geleverde diensten en afgegeven door een daartoe geautoriseerde instantie.

De vereiste versie is TLS 1.3 en indien noodzakelijk (indien de applicatie het niet ondersteunt) wordt TLS 1.2 nog toegestaan met goedkeuring en een einddatum.

Bij afwezigheid van een DMARC-record moet de e-mail in quarantaine worden geplaatst. 2.10.13 Cryptografische maatregelen Voor encryptie in transport moet Transport Layer Security (TLS) worden gebruikt voor het beveiligen van verbindingen.

Voor TLS 1.2 zijn enkel DHE (Diffie-Hellman Ephemeral) en ECDHE (Elliptic Curve Diffie-Hellman Ephemeral) toegestaan voor sleuteluitwisseling. 9 2.10.14 Alle gegevens moeten altijd versleuteld worden bij verzending over communicatieverbindingen, zowel binnen als buiten de IT/OT-infrastructuur van de Stedin Groep.

AD beheer 2 Het Erasmus MC is voor 100% eigenaar van de data opgenomen in de SAAS dienst. Data kan in zijn geheel worden geexporteerd door een bevoegd Erasmus MC SAAS beheerder AD beheer 3 Op verzoek dient de SAAS leverancier binnen 48 uur alle data gestructureerd te kunnen overhandigen aan het Erasmus MC AD beheer 4 De applicatie blijft goed presteren ongeacht de groei AD beheer 5 De leverancier voldoet aan relevante normen (bijv. ISO 27001, SOC 2, GDPR/AVG) AD beheer 6 De responsetijd bij incidenten is 30 min. na digitaal of telefonisch melden van het incident AD beheer 7 Oplostijd van een incident is binnen 4 uur AD beheer 8 De uptime van de SAAS dienst is 99,98% AD beheer 9 De SAAS dienst leverancier maakt eens per week een volledige backup van de data en per dag tenminste 4 incremental backups van de volledige dataset.

Netwerkbeheer 2 Authenticatie op basis van WPA2-Enterprise wordt ondersteunt Netwerkbeheer 3 Authenticatie op basis van WPA2-PSK in combinatie met MAC authenticatie wordt ondersteunt Netwerkbeheer 4 Het systeem kan zowel op 2,4 als op 5Ghz functioneren binnen het radiospectrum Netwerkbeheer 5 Op de 2,4Ghz radio dienen de kanalen 1,6 en 11 te worden ondersteund Op de 5Ghz radio dienen de kanalen 36,40,44,48,100,104,108 en 112 te worden ondersteund Netwerkbeheer 6 Het team netwerkbeheer bepaald op welk SSID de apparatuur wordt aangesloten Netwerkbeheer 7 I.v.m. strikte security maatregelen levert u de verkeersstromen aan voor het functioneren van de dienst. Deze verkeersstromen worden vertaald naar configuratie van de WLAN firewall zodat communicatie mogelijk is.

Gebruik van WPA2-Enterprise is verplicht, behoudens door ICT Services goedgekeurde uitzonderingen per SSID.

naam: type: string description: "\"Volledige naam\nKan ook alias zijn\"\t\"Uit SAML bericht/bekend bij intermediair/in te voeren door besteller (liefst éénmaal bij configuratie)\n\"\n" telefoonnummer: type: string description: "\"Telefoonnummer (bij gepland bestellen)\nKan ook algemeen nummer zijn\"\tUit SAML bericht/bekend bij intermediair/in te voeren door besteller (liefst éénmaal bij configuratie)\n" e-mail: type: string description: "\"E-mail (bij gepland bestellen)\nKan ook algemeen e-mail nummer zijn\"\tUit SAML bericht/bekend bij intermediair/in te voeren door besteller (liefst éénmaal bij configuratie)\n" required: - identificatie - naam additionalProperties: true tolk: allOf: - $ref: '#/components/schemas/persoon' - type: object description: > Tolk gegevens properties: rbtv-nummer: type: string description: "Het Rbtv-nummer van de tolk.

- Inschrijvingseis De Opdrachtnemer zorgt ervoor dat zijn IT-voorziening ten behoeve van “SSO” ten minste de volgende protocollen ondersteunt: • Security Assertion Markup Language (SAML3 ) 2.0 of een nieuwere versie indien die als “algemeen geaccepteerd” wordt beschouwd; • Open Authorization (OAuth) 2.04 of een nieuwere versie, indien die als “algemeen geaccepteerd” wordt beschouwd.

3 SAML, wat staat voor Security Assertion Markup Language, is een open XML-gebaseerde standaard voor het veilig uitwisselen van authenticatie- en autorisatiegegevens tussen verschillende partijen.

Ondertekening domeinnaam (DNSSEC) 8.

Beveiliging verbinding (HTTPS) 9.

Bereikbaarheid via modern internetadres (IPv6) 7.

Na her- of nieuwe certificering worden van de volgende documenten afschriften beschikbaar gesteld aan de leveranciersmanager: • Statement of applicability • ISO27001 • Rapportage van de ISO 27001 Lead Auditor • Managementreactie • Planning voor het definitief oplossen van eventuele bevindingen - Uitvoeringseis Opdrachtnemer stelt, op verzoek van Opdrachtgever, capaciteit, (actuele) informatie en/of middelen beschikbaar voor de uitvoering van audits of vergelijkbaar, op het gebied van informatiebeveiliging. - Uitvoeringseis Opdrachtnemer implementeert op eigen kosten de voorgestelde verbetermaatregelen naar aanleiding van de rapporten die voortvloeien uit een uitgevoerde pentest/ hackerstest, audit, de TPM en risicoanalyse: • Opdrachtnemer moet de verbeterpunten die worden aangemerkt als ‘need to have’ verplicht uitvoeren en borgen en informeert Opdrachtgever over de voortgang; • Opdrachtnemer is vrij om de verbeterpunten die als ‘nice to have’ worden aangemerkt, uit te voeren en te borgen.

Voor het overleggen van een TPM betekent dit: • Voor overeenkomst 1, 2 en 3 geldt de TPM op de ISO 27001 gecertificeerde informatiebeveiliging en na 2 jaar geldt de externe SOC 2 type 2 rapportage waaruit blijkt dat Opdrachtnemer SOC 2 compliant is; • Voor overeenkomst 3 is aanvullende TPM nodig voor de aanvullende eisen op BBN niveau 3.

Na beantwoording van een oproep zoals hierboven vermeld, moeten door Opdrachtnemer direct, zonder onderbreking door bijvoorbeeld het in de wacht(rij) zetten van een Besteller en/of het laten horen van pauzemuziek, de volgende stappen worden doorlopen: • het aannemen en registreren van de Bestelling; 1 API = Application Programming Interface 2 NLCIUS = Nederlandse Core Invoice Usage Specifications (standaard voor e-facturatie) Overheidsorganisaties moeten aan de Europese richtlijn 2014/55/EU voldoen en zijn vanaf 18 april 2019 verplicht om elektronische factuurberichten te kunnen ontvangen en te verwerken die aan de Europese norm voldoen.

De te ontvangen e-factuur dient te voldoen aan de NLCIUS, een aanvullende specificatie op de verplichte Europese norm (EN16931).

In combinatie met de Europese norm beschrijft NLCIUS welke gegevenselementen er in een elektronische factuur moeten of kunnen worden opgenomen, wat de samenhang is tussen deze elementen en wat de betekenis van deze elementen is.

Geautoriseerde route-aankondiging (RPKI) Pentesten moeten een positief resultaat hebben.

Bij voorkeur alle beveiligingsopties ingeschakeld; security.txt is verplicht 10.

Mail die verstuurd wordt vanuit een domein dat beheerd wordt door de UU, moet voldoen aan de volgende standaarden: • SPF; • DMARC; • DKIM.

135.03 In geval dat uw mailservers gebruikt worden, voldoen die aan geldende beveiligingsstandaarden ten aanzien van DKIM, DMARC en DNSSEC zoals omschreven op: https://www.forumstandaardisatie.nl/open-standaarden/verplicht.

Mail die verstuurd wordt vanuit een domein dat beheerd wordt door de UU, moet voldoen aan de volgende standaarden: • SPF; • DMARC; • DKIM.

135.03 In geval dat uw mailservers gebruikt worden, voldoen die aan geldende beveiligingsstandaarden ten aanzien van DKIM, DMARC en DNSSEC zoals omschreven op: https://www.forumstandaardisatie.nl/open-standaarden/verplicht.

135.03 In geval dat uw mailservers gebruikt worden, voldoen die aan geldende beveiligingsstandaarden ten aanzien van DKIM, DMARC en DNSSEC zoals omschreven op: https://www.forumstandaardisatie.nl/open-standaarden/verplicht.

De toetssoftware moet Application Programming Interfaces (API's) bieden die toegankelijk zijn voor te koppelen systemen via HTTPS en die voldoen aan erkende open of industrienormen.

Alle API-communicatie moet worden beveiligd met HTTPS met TLS 1.2 of hoger.

Gedurende de looptijd van de overeenkomst bent u ISO 27001-gecertificeerd met betrekking tot de scope van de opdracht.

U bent minimaal 2 jaar ISO 27001 gecertificeerd met betrekking tot de scope van de opdracht.

Als u niet minimaal 2 jaar ISO 27001 gecertificeerd bent, kan een kwaliteitshandboek voldoen, mits aan de volgende voorwaarden wordt voldaan: alle onderdelen van ISO 27001 zijn uitgewerkt en een externe auditor heeft vastgesteld dat de opgenomen PDCA-cyclus gelijkwaardig is aan de opzet zoals voorgeschreven door ISO 27001.

Alle API-communicatie moet worden beveiligd met HTTPS met TLS 1.2 of hoger.

137.03 Versleuteling voor transport moet gedurende de gehele looptijd van de overeenkomst voldoen aan de meest recente ICT-beveiligingsrichtlijnen voor Transport Layer Security (TLS) van het NCSC (zie https://www.ncsc.nl) op niveau ‘Voldoende’ of beter.