TenderNed Standaardenmonitor

Omdat SAML complexer is qua security, hanteren wij strikte eisen om de integriteit van de authenticatie te waarborgen.

De Oplossing ondersteunt authenticatie via de volgende protocollen conform de lijst met open standaarden van het Forum Standaardisatie: • OpenID Connect (OIDC) (voorkeur) óf SAML 2.0 en • OAuth 2.0 voor API-toegang E139.

Statutaire naam Gegadigde Naam ondertekenaar Functie ondertekenaar Handtekening Plaats en datum Statutaire naam onderaannemer Naam ondertekenaar Functie ondertekenaar Handtekening Plaats en datum TGV: Koppeldocument Applicatie Date 05/15/2026 Version v.3 Table of contents 1 OpenID Connect (OIDC) Koppeling...........................................................................................................................3 1.1 Applicatietypes ...............................................................................................................................................................3 1.2 Ondersteunde Grant Types .....................................................................................................................................3 1.3 Tokens & Scopes ............................................................................................................................................................5 1.4 Wat wij van u nodig hebben (OIDC)....................................................................................................................5 1.5 Wat u van ons krijgt (OIDC)......................................................................................................................................5 2 SAML 2.0 Koppeling (Legacy / Enterprise)..........................................................................................................7 2.1 Onze Security Eisen voor SAML2..........................................................................................................................7 2.2 Wat wij van u nodig hebben (SAML2)................................................................................................................7 2.3 Wat u van ons krijgt (SAML2)..................................................................................................................................7 3 Invulformulier voor de Aanvrager..............................................................................................................................8 4 IdP Omgevingen NIPV.......................................................................................................................................................9 TGV: Koppeldocument Applicatie 2 Dit document beschrijft de vereisten en parameters voor het koppelen van externe applicaties met de centrale Identity Provider (IdP) van het Nederlands Instituut Publieke Veiligheid (NIPV).

De Oplossing ondersteunt DNSSEC voor de webservices.

De Oplossing voldoet aan de richtlijnen voor de toegankelijkheid van de digitale dienstverlening conform DigiToegankelijkheid (WCAG 2.1, niveau AA, EN301549).

De in dit document weergegeven verwijzingen naar geo-standaarden, protocollen, technische specificaties en versies (waaronder maar niet beperkt tot standaarden van het Forum Standaardisatie, OGC en aanverwante organisaties) zijn onderhevig aan doorontwikkeling en wijziging. De Inschrijver kan aan eventuele onvolledigheden, verouderde verwijzingen of onnauwkeurigheden in deze specificaties geen rechten ontlenen.

De Geo-viewer biedt functionaliteit om gegevens te exporteren/downloaden naar verschillende formaten, in ieder geval naar geopackage, geojson, shp, xls(x) en csv.

De Oplossing ondersteunt de volgende standaarden / technieken: • de verplichte geo-standaarden op de ‘pas-toe-leg-uit’-lijst van Forum Standaardisatie; • OGC webservices; • netwerkprotocol MQTT; • netwerkprotocol Websocket; • netwerkprotocol Webhooks; • netwerkprotocol REST; • de ‘message broker’ Apache Kafka; • Open Database Connectivity (ODBC).

Redirect URI(s): De exacte URL('s) waar de gebruiker naartoe wordt gestuurd na succesvol inloggen (moet HTTPS zijn).

De hosting partner en organisatie van de Opdrachtnemer zijn ISO/IEC 27001 gecertificeerd en voldoen aan de voorwaarden genoemd in de Algemene Verordening Gegevensbescherming (AVG).

De infrastructuur en organisatie van de Opdrachtnemer (inclusief rekencentra (incl. back-up)) zijn adequaat beveiligd volgens ISO/IEC 27001 en ISO/IEC 27002 of vergelijkbaar.

7.6 Informatiebeveiliging Geschiktheidseis 6: Informatiebeveiliging De Inschrijver dient te beschikken over een informatiebeveiligingsmanagement systeem gelijkwaardig aan ISO/IEC 27001.

De infrastructuur en organisatie van de Opdrachtnemer (inclusief rekencentra (incl. back-up)) zijn adequaat beveiligd volgens ISO/IEC 27001 en ISO/IEC 27002 of vergelijkbaar.

Hierbij dient gebruik te worden gemaakt van het SSL-protocol op basis van TLS 1.2 of beter (voorkeur is TLS 1.3).

Dit kan bijvoorbeeld door middel van een geldig ISO 27001-certificaat, een gelijkwaardig certificaat, een recent onafhankelijk auditrapport of een ander passend bewijsmiddel.

A.8.20, A.8.22 NW-02 Alle beheer- en printprotocollen zijn versleuteld (HTTPS-beheerinterface, IPPS); ondersteuning voor TLS 1.2 of hoger.

BT.6 De beheertooling is met een webbrowser te benaderen (HTTPS).

BT.6 De beheertooling is met een webbrowser te benaderen (HTTPS).

APP.18 De Producten ondersteunen zowel IPv4, IPv6 als dual stack.

APP.18 De Producten ondersteunen zowel IPv4, IPv6 als dual stack.

A.8.20, A.8.22 3.4 Gegevensbescherming en privacy (AVG) ID Eis ISO 27001:2022 DP-01 De interne opslag (HDD/SSD) is versleuteld (AES-256).

Hierbij zal de actuele versie van de richtsnoeren beveiliging persoonsgegevens van de Autoriteit Persoonsgegevens alsmede de ISO 27001/ISO 27002 als uitgangspunt gebruikt worden.

Elke eis is voorzien van een verwijzing naar de relevante maatregel uit ISO/IEC 27001:2022 Annex A, zodat de eisen herleidbaar zijn naar het ISMS en bruikbaar in de leveranciersselectie en contractvorming. 2 Uitgangspunten en scope De volgende uitgangspunten zijn kaderstellend en vertaald in de eisen verderop: – Fleet-levering: meerdere MFP's, centraal te beheren als één beheerde vloot.

Hierbij zal de actuele versie van de richtsnoeren beveiliging persoonsgegevens van de Autoriteit Persoonsgegevens alsmede de ISO 27001/ISO 27002 als uitgangspunt gebruikt worden.

References: • SSD: 4 • OWASP: https://cheatsheetseries.owasp.org/cheatsheets/Transport_Layer_Protection_Cheat_Sheet.html • ISO 27002:2013 13.1.1 13.2.1 14.1.2 STITCH 1.1 - Security Technical IT CHecklist 5/11 STITCH-2 The identity of users has been vetted a nd identities are managed federatively Institutions must check the identities of users and authenicate them, and applications shall work with federated identities.

References • SSD: 6 • ISO 27002:2013 18.1.1 9.2.4 9.2.1 9.2.6 9.4.2 STITCH 1.1 - Security Technical IT CHecklist 6/11 STITCH-3 Authorisation is based on separation of duties and least privilege Applications must apply separation of duties.

In case of Opportunistic TLS protocols, for example IMAP, POP3, NNTP and LDAP, check if the STARTTLS command is being sent after the initial unencrypted connection has been set up.

In case of Opportunistic TLS protocols, for example IMAP, POP3, NNTP and LDAP, check if the STARTTLS command is being sent after the initial unencrypted connection has been set up.

A.8.20, A.8.22 NW-02 Alle beheer- en printprotocollen zijn versleuteld (HTTPS-beheerinterface, IPPS); ondersteuning voor TLS 1.2 of hoger.

IB.10 Alle verbindingen zowel intern als extern moeten ge-encrypt worden via Transport Layer Security (TLS).

Dit geldt voor ETL (FTPS) en servicekoppelingen (https obv TLS 1.2 of TLS 1.3) IB.11 Standaard wachtwoorden moeten direct bij installatie gewijzigd worden.

Vraag: Is Opdrachtgever bereid de eis zo te herformuleren dat SSO via OpenID Connect met Microsoft Entra ID acceptabel is, gelijkwaardig aan SAML 2.0?

Inschrijff ase Bijlage 1 Programma van Eisen E.26 - SSO via SAML 2.0 "Eis E.26 stelt SSO via SAML 2.0 op Entra ID en oAuth2.0 voor de API.

SAML 2.0 wordt niet native ondersteund door het AFAS Online platform.

Inschrijff ase Bijlage 1 Programma van Eisen E.17 "De WCAG 2.1 is van toepassing voor openbare voorzieningen als overheidswebsites en webapps voor burgers, maar niet voor bedrijfsapplicaties zoals een systeem.

Inschrijff ase Bijlage 1 Programma van Eisen E.17 - WCAG 2.1 AA "Eis E.17 vraagt een door een externe expert opgesteld WCAG-EM toegankelijkheidsrapport voor de gehele applicatie op niveau A en AA.

De selfservice- portalen van Opdrachtnemer en de standaard dossierpagina's zijn vanaf september 2025 ontworpen en getest conform WCAG 2.1 niveau A en AA, met aria-labels die structureel afgedwongen zijn in het ontwikkelproces.

Inschrijff ase Bijlage 7 ARBIT2022_sept2022 art. 5.3 en 5.4 Aangezien niet aan alle klanten afzonderlijk onbeperkte controle/auditrechten kunnen worden toegekend, worden deze bepalingen vervangen door: "5.3 Wederpartij verleent alle benodigde medewerking aan audits, die worden uitgevoerd door een onafhankelijke gecertificeerde auditor na afstemming van een auditplan en de omvang en kosten daarvan, tenzij Wederpartij door middel van een geldige certificering (zoals een ISAE 3402 type 2 rapportage, een ISO 27001 certificering en een ISO 9001 certificering), die periodiek door een geaccrediteerde instelling wordt getoetst, heeft aangetoond dat Wederpartij de gemaakte afspraken nakomt.

Opdrachtnemer beschikt over een ISO 27001- certificering en een NEN 7510-certificering voor AFAS Online, beide afgegeven door EY CertifyPoint, alsmede een ISAE 3402 type II-verklaring. De BIO is grotendeels gebaseerd op de ISO 27001 controls, aangevuld met overheidsspecifieke maatregelen.

Vraag: Kan Opdrachtgever bevestigen dat de combinatie van ISO 27001, NEN 7510 en ISAE 3402 type II-rapportage van Opdrachtnemer, met inzage in de Verklaring Van Toepasselijkheid, voldoende invulling geeft aan deze eis voor zover dit ziet op de SaaS-dienst en de hosting?"

6.2 De geleverde Prestatie van de Opdrachtnemer voldoet aan de richtlijn van www.digitoegankelijk.

Omschrijving Bij aanmelding of op verzoek (binnen 10 werkdagen) A: Algemene verklaringen A1: Uniform Europees Aanbestedingsdocument (UEA) A2: Ruslandverklaring Aanmelding Aanmelding B: Bewijsmiddelen ten behoeve van Uitsluitingsgronden B1: Uittreksel Handelsregister (KvK) B2: Gedragsverklaring Aanbesteden (GVA) B3: Verklaring nakoming fiscale betalingsverplichtingen Belastingdienst Op verzoek Op verzoek Op verzoek C: Geschiktheidseisen C1: Aansprakelijkheidsverzekering C2: Accountantsverklaring zonder continuïteitsparagraaf of samenstellingsverklaring Op verzoek Op verzoek D: Technische en beroepsbekwaamheid D1: Kwaliteitsmanagementsysteem, kwaliteitshandboek en/of ISO 9001 : 2015 D2: Milieumanagementsysteem, milieuhandboek en/of ISO 14001 : 2015 D3: Informatieveiligheid en/of ISO 27001 : 2015, of gelijkwaardig D4: Kerncompetenties inclusief referentieverklaring, ingevuld bijlage 5 formulier Op verzoek Op verzoek Op verzoek Aanmelding E: Overig E1: Concept SLA E2: Verklaring onderaanneming Na gunning Aanmelding (indien van toepassing) Selectieleidraad – Beheer, onderhoud en doorontwikkeling PRS Pagina 16 van 30 4.1 A1 Uniform Europees Aanbestedingsdocument (UEA) Nidos vraagt u om bij uw aanmelding het 'Uniform Europees Aanbestedingsdocument (UEA) in te dienen.

Het verzoek vindt plaats aan de geselecteerde aanmelders door middel van de bekendmaking van de voorlopige selectiebeslissing. 4.6.4 D3 Informatiebeveiligingsbeleid U dient te beschikken over een hoogwaardig systeem voor informatie en databeveiliging. Hiertoe dient u te beschikken over een geldig ISO 27001-certificaat of gelijkwaardig certificaat waaruit blijkt dat uw organisatie en uw storage(locaties) voldoen aan de daarin gestelde hoogwaardige beveiligingseisen.

U dient in voldoende mate maatregelen te hebben getroffen op het gebied van informatiebeveiliging en dient op de volgende wijze aan te tonen hieraan te voldoen: • Een kwaliteitscertificaat, opgesteld door een onafhankelijke instantie, ISO/IEC 27001 of gelijkwaardig, geldig op de sluitingsdatum van de aanmeldingstermijn van deze aanbesteding (u volstaat met het toevoegen van een kopie van het certificaat).

6.6 Contractor’s IT Performance either complies with the guidelines set out at www.digitoegankelijk.nl; alternatively, he must show that compliance with this guideline is being worked on (in so far as applicable to him).

Appropriate technical and organisational measures taken by the Processor ISO 27001 or comparable certification, or other appropriate technical and organisational measures as described below.

3.9 Suitability Requirement: Information Security Measures The Tenderer must have in place a high-quality information and data-security system, as evidenced by a valid ISO 27001 certificate or equivalent, demonstrating that the organization and its storage comply with the associated security requirements.

A Quality Certificate issued by an independent body, ISO/IEC 27001 or equivalent, valid on the tender submission deadline (please submit a copy); or 2.

Indien uw Inschrijving als voorlopig winnend is aangemerkt dient u binnen 15 kalenderdagen ter onderbouwing van het Uniform Europees Aanbestedingsdocument (UEA) de volgende bewijsstukken in te dienen: • Uittreksel uit het Handelsregister, vanaf het tijdstip van Inschrijving niet ouder dan 6 maanden; • GVA, vanaf het tijdstip van Inschrijving niet ouder dan 2 jaar; • Verklaring Belastingdienst, vanaf het tijdstip van Inschrijving niet ouder dan 6 maanden; • Verklaring beroep financiële en economische draagkracht derde (indien van toepassing); • Verklaring beroep technische en beroepsbekwaamheid derde (indien van toepassing); • Kwaliteitsmanagement: ISO 9001 of gelijkwaardige certificering; • Informatiebeveiliging: ISO 27001 of gelijkwaardige certificering; • Eigen Verklaring Sanctiepakket Rusland.

LVNL aanvaardt een ISO 27001- certificering of een gelijkwaardige certificering als bewijs van het voldoen aan deze eis.

Bijlage 2: Digipoort Facturen die aangeleverd worden via Digipoort, dienen op onderstaande manier te worden verstuurd:  De factuur dient in Xml-format via Digipoort te worden gestuurd naar het COA OIN 00000001803660406000;  De factuur dient te voldoen aan de NLCIUS (Nederlandse Core Invoice Usage Specifications);  Bijbehorende bijlage(n) dienen bij het Xml-bestand als bijlage toegevoegd te worden;  De datum van aanlevering via Digipoort is gelijk aan de factuurdatum die het COA hanteert v.w.b. de betaaltermijn van 30 dagen; - herinneringen, aanmaningen en kopie facturen moeten gemaild worden naar fahelpdesk@coa.nl.

Bijlage 2: Digipoort Facturen die aangeleverd worden via Digipoort, dienen op onderstaande manier te worden verstuurd:  De factuur dient in Xml-format via Digipoort te worden gestuurd naar het COA OIN 00000001803660406000;  De factuur dient te voldoen aan de NLCIUS (Nederlandse Core Invoice Usage Specifications);  Bijbehorende bijlage(n) dienen bij het Xml-bestand als bijlage toegevoegd te worden;  De datum van aanlevering via Digipoort is gelijk aan de factuurdatum die het COA hanteert v.w.b. de betaaltermijn van 30 dagen; - herinneringen, aanmaningen en kopie facturen moeten gemaild worden naar fahelpdesk@coa.nl.

Bijlage 2: Digipoort Facturen die aangeleverd worden via Digipoort, dienen op onderstaande manier te worden verstuurd:  De factuur dient in Xml-format via Digipoort te worden gestuurd naar het COA OIN 00000001803660406000;  De factuur dient te voldoen aan de NLCIUS (Nederlandse Core Invoice Usage Specifications);  Bijbehorende bijlage(n) dienen bij het Xml-bestand als bijlage toegevoegd te worden;  De datum van aanlevering via Digipoort is gelijk aan de factuurdatum die het COA hanteert v.w.b. de betaaltermijn van 30 dagen; - herinneringen, aanmaningen en kopie facturen moeten gemaild worden naar fahelpdesk@coa.nl.