TenderNed Standaardenmonitor

SSO/SAML heeft de voorkeur.

Dit betreft gangbare authenticatiemethoden zoals Basic Authentication, SSO/SAML of andere beveiligde koppelingen.

IDENTITY DIRECTOR-MU LTI Provisioning desktop Icoon in startmenu AD Groep aanmaken Sync opzetten met Azure AD Authenticatie o.b.v. Ent.App/App registratie Inloggen met SAML en MFA Users toevoegen aan AD groep.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

Accepteert de aanbestedende dienst ISO/IEC 27001-certificering met de bijbehorende verklaring van toepasselijkheid, aangevuld met periodieke externe controles zoals pentests en externe audits, als bewijs van een passend niveau van beveiliging, of verlangt de aanbestedende dienst daarnaast een afzonderlijke BIO-conformiteitsverklaring of een assurancerapport van een bij NOREA aangesloten auditor?

ISO/IEC 27001-certificering met de bijbehorende verklaring van toepasselijkheid is een van de wijzen waarop Verwerker een passend beveiligingsniveau kan aantonen (Bijlage 2 bij de Verwerkersovereenkomst), mits de scope van het certificaat de aangeboden SaaS-dienst en de daarvoor gebruikte (hosting)omgeving omvat.

Bij de waardering wordt in het bijzonder gelet op: • Realisme en haalbaarheid van het plan ten opzichte van de gevraagde opleverdatum en de nazorgperiode; • De risicobeheersing en de kwaliteit van de terugval-/herstelscenario’s; • De controles op volledigheid, juistheid én conformiteit met de nieuwe eisen, ook wanneer een bestaande situatie wordt voortgezet; Europese openbare aanbesteding Raadsinformatiesysteem Gemeente Renkum 27 • De kwaliteit van de gap-analyse en de aanpak voor de nieuwe of gewijzigde eisen en de koppelingen (waaronder StUF-ZKN en de tweerichtingskoppeling met het zaaksysteem), inclusief risico’s en mitigaties; • De kwaliteit van de opleiding en adoptie op het nieuwe of gewijzigde deel en de mate waarin gebruikers en beheerders zelfstandig met de oplossing kunnen werken; • De mate waarin uit het plan blijkt dat de inschrijver zich verplaatst in de gemeentelijke organisatie en de verantwoordelijkheid voor een succesvolle, conforme ingebruikname naar zich toe trekt.

Indien Leverancier gebruik maakt van een gepersonaliseerde omgeving in de catalogus worden gebruikers geauthentiseerd via SAML 2.0 of OAUTH2+OpenID.

ISO 27001-certificering wordt dan ook niet als aanvullende geschiktheidseis opgenomen.

HU Gegevensuitwisselingsovereenkomst 2026 7/10 ALDUS OVEREENGEKOMEN DOOR PARTIJEN: [PARTIJ I] [PARTIJ II] _____/_____/___________ _____/_____/___________ Datum Datum ______________________ ______________________ Naam Naam _____________________ ______________________ Handtekening Handtekening HU Gegevensuitwisselingsovereenkomst 2026 8/10 Bijlage A: Specificatie van de gegevensuitwisseling Omschrijving en Doeleinden van de Verwerking (incl. evt. specifieke verwerkingen o.g.v. art. 4.5) (in te vullen door Verwerkingsverantwoordelijken) Categorieën Betrokkenen (in te vullen door Verwerkingsverantwoordelijken) Categorieën Persoonsgegevens (in te vullen door Verwerkingsverantwoordelijken) Bewaartermijn van Persoonsgegevens of de criteria om die vast te stellen (enkel invullen indien van toepassing) Type informatie Bewaartermijn (+ toelichting) Contactgegevens Algemene contactgegevens Naam Functie Emailadres Telefoonnummer Verwerkingsverantwoordelijke I Verwerkingsverantwoordelijke II HU Gegevensuitwisselingsovereenkomst 2026 9/10 Contactgegevens bij Inbreuk in verband met Persoonsgegevens Naam Functie E-mail adres Telefoonnum mer [Partij I] (in te vullen door Verwerkingsverantwoordelijke) [Partij II] (in te vullen door Verwerkingsverantwoordelijke) Datum bijlage: [DATUM] HU Gegevensuitwisselingsovereenkomst 2026 10/10 Bijlage B: Beveiligingsmaatregelen Certificaten Verwerkingsverantwoordelijken beschikken over de volgende geldige certificaten of verklaringen van een deskundige derde waaruit blijkt dat Verwerkingsverantwoordelijken voldoen aan hun verplichting de Persoonsgegevens die zij verwerken adequaat te beveiligen: Naam Naam of nummer Toepassingsgebied Geldigheidsduur [Partij I] (in te vullen door Verwerkingsverantwoordelijke) bijv. ISO 27001, NEN 7510, SOC 2 [Partij II] (in te vullen door Verwerkingsverantwoordelijke) Verwerkingsverantwoordelijken dragen ervoor zorg dat zij gedurende deze Gegevensuitwisselingsovereenkomst blijven beschikken over bovenstaande certificaten of een gelijkwaardige opvolger daarvan met een nieuwe geldigheidsduur.

Leverancier zorgt dat verbinding tussen de aangeboden applicatie en de gekoppelde systemen o.b.v. de algemeen geaccepteerde secure versie van het encryptie protocol zijn te beveiligen (in 2017 is dat TLS 1.2).

5.4 De websites kennen een architectuurmodel waarin het mogelijk is om inhoud van andere systemen te hergebruiken of inhoud voor andere systemen beschikbaar te stellen, gebruikmakend van 5 standaard koppelvlakken (als REST API, webhooks, SAML, etc.). 5.5 Toegang tot de websites zijn op basis van federatieve single identiteit via SAML 2.0 (Azure AD/IDP) of via SURFconext en een Claims based authenticatie.

o Kerncompetentie 3: aantoonbare ervaring met de realisatie en borging van minimaal WCAG 2.1 niveau AA voor een publiek toegankelijke website.

• Kerncompetentie 3: aantoonbare ervaring met de realisatie en borging van minimaal WCAG 2.1 niveau AA voor een publiek toegankelijke website.

6.6 De webomgevingen voldoen aan de volgende technische minimumvereisten: HTTPS-only communicatie is verplicht, inclusief HSTS-header; TLS 1.0 en TLS 1.1 zijn uitgeschakeld; er is een Web Application Firewall (WAF) aanwezig; de OWASP Top 10 kwetsbaarheden zijn aantoonbaar Field Code Changed 6 geadresseerd; HTTP-beveiligingsheaders zijn geconfigureerd (waaronder Content Security Policy en XFrame-Options); er wordt geen end-of-life software of end-of-life frameworks gebruikt.

Van de opdrachtnemer wordt verwacht dat de hosting- en beheeromgeving voldoet aan een beveiligingsniveau vergelijkbaar met ISO 27001.

Een geldig ISO 27001-certificaat volstaat als bewijs.

Bijlage 4 Programma van Eisen, eis 6.1 Eis 6.1 stelt dat de dienstverlening wordt ingericht conform de principes van ISO 27001 of een gelijkwaardig certificaat zoals SOC 2 Type II.

Opdrachtgever committeert zich aan het gebruik van de van toepassing zijnde en de verplichte standaarden van het Forum Standaardisatie in relatie tot de Low-code Oplossing. Het betreft de volgende streefbeeldafspraken informatieveiligheid conform https://www.forumstandaardisatie.nl/onderwerpen/veilig-internet/streefbeeldafspraken: • Ades Baseline Profiles De ‘AdES Baseline Profiles’ moeten worden toegepast op de ondertekening van XML-, CMS-, PDF- en ZIP-bestanden met geavanceerde en/of gekwalificeerde elektronische handtekeningen, zegels of tijdstempels.

Hogere eisen aan certificaten vloeien voort uit een risicoanalyse, aansluitvoorwaarden of wetgeving. 16 Overheidsmaatregelnummer Overheidsmaatregel 5.14.03 Geavanceerde en/of gekwalificeerde elektronische handtekeningen voldoen aan de Advanced Electronic Signatures (AdES Baseline Profiles), zoals opgenomen in de Lijst open standaarden van Forum Standaardisatie.

Security Assertion Markup Language (SAML): Een op XML gebaseerde standaard voor het uitwisselen van authenticatie- en autorisatiegegevens tussen domeinen.

De Low-code Oplossing ondersteunt minimaal de volgende mogelijkheden voor het beveiligen van API's en/of webservices: • TLS 1.3; • OAuth, SAML, OIDC (ondersteunt of mogelijkheid om in te bouwen); • Encryptie (door het Low-code Oplossing).

ICT begrippenlijst | Low-code oplossing | IUC IUC25-011 Belastingdienst | 15 april 2026 pagina 3 van 18 Afkorting Begrip OWASP Open Web Application Security Project Prio Prioriteit PVA Plan van aanpak QT Quantumtechnologie RBAC Role Based Access Control RDMMS Relational Database Management Systemen RPO Recovery Point Objective RTO Recovery Time Objective SAML Security Assertion Markup Language SBOM Software Bill Of Materials SLA Service Level Agreement SOW Statement of Work SPOC Single Point of Contact SSL Secure Socket Layer SSO Single Sign-On TLS Transport Layer Security UE Uitvoeringseis UEA Uniform Europees Aanbestedingsdocument VE Vormeis/Vormvereiste Bijlage 1.

• Digikoppeling Digikoppeling moet worden toegepast bij digitale gegevensuitwisseling die plaatsvindt met voorzieningen die onderdeel zijn van de GDI, waaronder de basisregistraties, of die sector overstijgend is.

Geautomatiseerde gegevensuitwisseling tussen informatiesystemen op basis van NEN3610 is uitgesloten van het functioneel toepassingsgebied. • Digitoegankelijk (EN 301 549 met WCAG 2.1) Digitoegankelijk (EN 301 549 met WCAG 2.1) moet worden toegepast op het aanbieden van webgebaseerde informatie-, interactie-, transactie- en participatiediensten.

• HTTPS en HSTS HTTPS en HSTS moeten worden toegepast op de communicatie tussen clients (zoals webbrowsers) en servers voor alle websites en webservices.

• IPv6 IPv6 moet op digitale diensten en op netwerken en apparaten worden toegepast. Dit betekent ten eerste dat digitale diensten, zoals websites en e-mailservers, bereikbaar moeten zijn via IPv6.

Ten tweede betekent dit dat netwerken IPv6 moeten aanbieden en dat apparaten zo moeten worden geconfigureerd dat IPv6 wordt gebruikt indien aangeboden.

In veel gevallen zal het vanwege interoperabiliteit noodzakelijk blijven om naast IPv6 ook IPv4 toe te passen.

Deze regelgeving is gebaseerd op de NEN/ISO 27001:2017 en de NEN/ISO 27002:2022, en bevat daarnaast aanvullende beveiligingseisen.

De BIO2 beschrijft de invulling van NEN-EN-ISO/IEC 27001:2023 en NEN-EN-ISO/IEC 27002:2022 voor de overheid.

Contextbepaling NEN-EN-ISO/IEC 27001 vereist dat een entiteit eerst haar context vaststelt om relevante informatiebeveiligingsrisico’s te identificeren.

Deze regelgeving is gebaseerd op de NEN/ISO 27001:2017 en de NEN/ISO 27002:2022, en bevat daarnaast aanvullende beveiligingseisen.

NEN-EN-ISO/IEC 27001 en NEN-EN-ISO/IEC 27002 beschrijven de details voor implementatie (richtlijnen) en eisen voor de procesinrichting (onder andere het ISMS uit NEN-EN-ISO/IEC 27001).

Het gebruik van informatie uit NEN-EN-ISO/IEC 27001 en NEN-EN-ISO/IEC 27002 in de BIO is auteursrechtelijk beschermd.

• NL GOV Assurance Profile for OAuth 2.0 NL GOV Assurance Profile for OAuth 2.0 moet worden toegepast bij applicaties waarbij gebruikers of ‘resource owners’ impliciet of expliciet toestemming geven aan een dienst van een derde om namens deze toegang te krijgen tot Data via een REST API waarvoor ze recht van toegang hebben.

De Low-code Oplossing ondersteunt minimaal de volgende mogelijkheden voor het beveiligen van API's en/of webservices: • TLS 1.3; • OAuth, SAML, OIDC (ondersteunt of mogelijkheid om in te bouwen); • Encryptie (door het Low-code Oplossing).

Transport Layer Security (TLS): Een cryptografisch protocol die Gegevens codeert en een verbinding verifieert bij het overdragen van Data via het internet.

ICT begrippenlijst | Low-code oplossing | IUC IUC25-011 Belastingdienst | 15 april 2026 pagina 3 van 18 Afkorting Begrip OWASP Open Web Application Security Project Prio Prioriteit PVA Plan van aanpak QT Quantumtechnologie RBAC Role Based Access Control RDMMS Relational Database Management Systemen RPO Recovery Point Objective RTO Recovery Time Objective SAML Security Assertion Markup Language SBOM Software Bill Of Materials SLA Service Level Agreement SOW Statement of Work SPOC Single Point of Contact SSL Secure Socket Layer SSO Single Sign-On TLS Transport Layer Security UE Uitvoeringseis UEA Uniform Europees Aanbestedingsdocument VE Vormeis/Vormvereiste Bijlage 1.

Gemeente Apeldoorn | Programma van Eisen 25024 | pagina 12 Nr. Eis Ja/Nee IB-E21 IB-IAM-002 - Identity & Access - Multi-factor authenticatie Indien de ICT-prestatie kan worden gekoppeld aan het federatief identity platform van Opdrachtgever, waaronder SAML 2.0 en/of OpenID Connect via Microsoft Entra ID of een gelijkwaardig platform, wordt authenticatie volledig via dit federatieve mechanisme uitgevoerd, inclusief afdwinging van MFA via Conditional Access policies van Opdrachtgever.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

Gemeente Apeldoorn | Programma van Eisen 25024 | pagina 9 Nr. Eis Ja/Nee IB-E05 IB-ALG-003 - Algemeen (governance) - ISMS verplichting Opdrachtnemer heeft een aantoonbaar ingericht Information Security Management System (ISMS), gebaseerd op een erkend normenkader (bijv. ISO/IEC 27001 of gelijkwaardig), waarmee technische en organisatorische maatregelen structureel worden beheerd en verbeterd.

IB-E08 IB-ALG-006 - Algemeen (governance) - Baseline Informatiebeveiliging Overheid Opdrachtnemer levert een ICT-prestatie die zodanig is ontworpen, ingericht en onderhouden dat Opdrachtgever kan voldoen aan de Baseline Informatiebeveiliging Overheid (BIO2), voor zover van toepassing op de aard en de risicoklasse van de dienstverlening. Opdrachtnemer is verantwoordelijk voor het identificeren en implementeren van passende beveiligingsmaatregelen binnen zijn eigen domein, die in lijn zijn met de BIO2 en gangbare informatiebeveiligingsstandaarden (zoals ISO/IEC 27001/27002).

Must 2 162 Architectuur Het platform dient ondersteuning te bieden voor het ACME-protocol (RFC 8555), zodat certificaten voor beveiligde communicatie geautomatiseerd kunnen worden beheerd en vernieuwd zonder handmatige interventie.

Gegadigde verzoekt de Provincie Noord-Brabant daarom te motiveren: a) waarom aantoonbare ervaring met de integratie van DigiD, eHerkenning en/of eIDAS noodzakelijk is voor een goede uitvoering van de opdracht; b) op welke wijze deze specifieke ervaring verband houdt met de in de aanbestedingsstukken beschreven scope; c) waarom ervaring met de implementatie en integratie van generieke identity- en accessmanagementoplossingen, waaronder Microsoft Entra ID en authenticatiestandaarden zoals OAuth 2.0/OIDC en SAML, onvoldoende wordt geacht.

Indien een dergelijk specifiek verband met de opdracht ontbreekt, verzoekt gegadigde de eis te wijzigen in: “De gegadigde beschikt over aantoonbare ervaring met de integratie van identiteits- en authenticatievoorzieningen en identity- en accessmanagementoplossingen, gebaseerd op gangbare standaarden en protocollen, zoals OAuth 2.0/OIDC, SAML, Microsoft Entra ID, DigiD, eHerkenning en/of eIDAS."

Eis 165: Digikoppeling, Haal Centraal en ZGW.

Welke Digikoppeling-profielen moet de oplossing ondersteunen (REST-API, ebMS2 en/of WUS)?

Must 1 165 Architectuur De oplossing voorziet in een Digikoppeling adapter en een Haal Centraal koppeling. Must 1 166 Architectuur De oplossing voorziet in een ZGW-API koppeling. Should 2 Bijlage G Programma van eisen Integratieplatform 5 van 5 Onderwerp: Uitstel publicatie Nota van Inlichtingen en rectificatie Geachte geïnteresseerden, De publicatie van de Nota van Inlichtingen, die voor vandaag gepland stond, wordt uitgesteld naar morgen, 13 oktober 2026.

Eis 128: toegankelijkhei d. Geldt WCAG 2.1 AA voor de gehele ontwikkel- en beheeromgeving van het platform, of alleen voor componenten die worden gebruikt door eindgebruikers en functioneel beheerders (zoals dashboards en de developer portal)?

De eis (WCAG 2.1 AA) geldt voor de componenten die worden gebruikt door eindgebruikers en functioneel beheerders.

Could 2 128 Functioneel Het platform moet toegankelijk zijn conform EN 301 549 | WCAG 2.1 AA Must 1 129 Leverancier De geboden oplossing heeft alle licenties voor de oplossing zelf.

Must 2 107 Architectuur Alle communicatie van en naar het vertrouwde provinciale netwerk of door de provincie aangewezen cloudomgeving vindt plaats over beveiligde verbindingen, zoals HTTPS en sFTP met onderliggend certificaat.

Must 1 93 Architectuur De leverancier zorgt dat IPv6 wordt ondersteund daar waar componenten extern ontsloten worden.

Kan de provincie bevestigen dat voor het SaaS-gedeelte van de hybride oplossing het overleggen van actuele, internationaal erkende Third-Party Assurance (TPA) rapportages zoals SOC 2 Type II en ISO 27001 volstaat en de eis voor klantspecifieke audits hierop vervalt?"

Voor het SaaS-gedeelte kan een geldige ISO 27001-certificering als aanvullende assurance worden gebruikt.

De inschrijver dient derhalve zowel een geldig ISO 27001-certificaat als de gevraagde BIO-zelfverklaring aan te leveren.

Must 2 18 Architectuur Het platform moet gegevensuitwisseling tussen (web)applicaties ondersteunen via gedocumenteerde API's op basis van REST, conform de NLGov REST API Design Rules, SOAP, met formele specificaties zoals OpenAPI en XML Schema Definition (XSD).

Dit sluit bovendien direct aan bij verplichte (overheids)standaarden, zoals de NLGov REST API Design Rules, die eveneens Engelse terminologie hanteren.

Alle communicatie is versleuteld met TLS 1.3, met fall back naar TLS 1.2, of hoger en zwakke protocollen zijn uitgeschakeld, conform forum voor standaardisatie.

Opdrachtnemer levert en implementeert het systeem met een koppeling met AAD op basis van SAML 2.0 Connect ten behoeve van MFA en SingleSignOn opdat het gemeentelijke wachtwoordbeleid kan worden afgedwongen.

Fase: Inschrijffase Inschrijfronde: Inschrijfronde 1 Vragenronde: Vragenronde 3 Beantwoord op: 25 jun 2026 Percelen: P1 Lokale aanpak isolatie Ref.nr. Onderwerp: Nota van inlichtingen TN-587440 - 25 jun 2026 Pagina 5 van 8 191 equivalentie ISO 27001 voor ICT-component Vraag: Referentie: PvE Software – I&A LAI, Algemene eis 5 ("Leverancier is ISO-27001 gecertificeerd") versus Beschrijvend Document §2.7.2 sub h ("ISO 27001 certificaat óf een vergelijkbaar certificaat, óf bedrijfsdocumenten en procedures...").

Fase: Inschrijffase Inschrijfronde: Inschrijfronde 1 Vragenronde: Vragenronde 3 Beantwoord op: 25 jun 2026 Percelen: P1 Lokale aanpak isolatie Nota van inlichtingen TN-587440 - 25 jun 2026 Pagina 7 van 8 Ref.nr. Onderwerp: 194 certificering door hosting-/subverwerker Vraag: Indien het gegevensverwerkende platform draait bij een ISO 27001-gecertificeerde hosting- /cloudleverancier en de inschrijver zelf met geborgde procedures (conform BIO) werkt, voldoet de inschrijver dan aan eis 5, mits de certificering van de relevante hosting-/verwerkingsketen wordt aangetoond?

h. Informatiebeveiligingsmanagementsysteem De inschrijver dient te beschikken over een informatiebeveiligingsmanagementsysteem op basis van de norm ISO 27001 certificering. Als bewijs hiervan beschikt de inschrijver bij inschrijving over het ISO 27001 certificaat of een vergelijkbaar certificaat, of bedrijfsdocumenten en procedures, waaruit blijkt dat leidinggevend- en uitvoerend personeel hiermee bekend is.

De door de opdrachtnemer geleverde oplossing of dienst zal gedurende de looptijd van de overeenkomst daar waar relevant en/of van toepassing, voorzien zijn van maatregelen zoals gedefinieerd in de NEN-ISO/IEC 27002, minimaal voldoend aan BIO BasisBeveiligingsNiveau.

Kan de gemeente bevestigen dat de equivalentieregeling uit BD §2.7.2-h óók geldt voor het ICT-component, zodat een aantoonbaar gelijkwaardig ISMS (vergelijkbaar certificaat of geborgde bedrijfsdocumenten/procedures conform NEN-ISO/IEC 27002 en BIOBasisBeveiligingsNiveau) volstaat?

Fase: Inschrijffase Inschrijfronde: Inschrijfronde 1 Vragenronde: Vragenronde 3 Beantwoord op: 25 jun 2026 Percelen: P1 Lokale aanpak isolatie Ref.nr. Onderwerp: 193 proportionaliteit (verzoek tot schrappen knock-out / "of gelijkwaardig") Vraag: Een hard ISO-27001-certificaat zonder gelijkwaardigheidsmogelijkheid sluit ondernemers uit die aantoonbaar een gelijkwaardig beveiligingsniveau realiseren (geborgde ISO 27002-/BIO-maatregelen, dan wel certificering van de hosting-/verwerkingsketen), terwijl het beveiligingsdoel daarmee evengoed wordt bereikt.

Dit zorgt ervoor dat er geen aanpassingen gemaakt moeten worden in het SPF-record.

Voor Exchange Online wordt gebruik gemaakt van het SPF-record include:spf.protection.outlook.com.

Een SPF-record is een DNS-record dat aangeeft welke mailservers gemachtigd zijn om e-mail te verzenden namens een domein.

Of volstaat het wanneer SSO wordt gerealiseerd via gangbare open standaarden (zoals SAML 2.0 of OpenID Connect) die aantoonbaar integreerbaar zijn met de Microsoft Entra ID-omgeving van Opdrachtgever?

Antwoord: Het volstaat wanneer de Single Sign-On (SSO) wordt gerealiseerd via gangbare open standaarden zoals SAML 2.0 of OpenID Connect (OIDC), mits deze aantoonbaar en naadloos integreren met de Microsoft Entra ID-omgeving van Opdrachtgever.

Om aan zijn plichten uit artikel 38 van de Inkoopvoorwaarden te voldoen, overlegt Leverancier jaarlijks een actuele ISO 27001-certificering of een gelijkwaardige derdenverklaring (zoals ISAE 3402 of SOC 2 Type II), waaruit blijkt dat de relevante beveiligingsmaatregelen aantoonbaar zijn ingericht en worden nageleefd.

Fase: Inschrijffase Inschrijfronde: Inschrijfronde 1 Vragenronde: Vragenronde 1 Beantwoord op: 1 jun 2026 Percelen: P1 Vervanging vaste telefoniecentrale Ref.nr. Onderwerp: 205 Programma van Eisen 5.6 Vraag: Leverancier ziet graag dat een ISO 27001 OF NEN 7510, of gelijkwaardig vereist is.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

De oplossing ondersteunt hiervoor SSO en geautomatiseerd identiteitsbeheer conform open standaarden: minimaal OpenID Connect (OIDC) of SAML 2.0 voor authenticatie, OAuth 2.0 voor autorisatie, en SCIM 2.0 voor provisioning. E178.

o De oplossing ondersteunt minimaal OpenID Connect (OIDC) en/of SAML 2.0 en is compatibel met Ms Entra ID.

Het betreft normen en standaarden die de volgende ICT-kwaliteitsgebieden afdekken (tussen haakjes staan ter verduidelijking voorbeelden van betreffende normen en standaarden, waarbij opvolgende versies ook onder de normen vallen): o Architectuur (GEMMA); o Interoperabiliteit (NEN3610, Stuf, SUWIML, Digikoppeling, iWMO); o Beveiliging (Baseline Informatiebeveiliging Gemeenten); o Dataportabiliteit; o Metadatering (TMLO); o Toegankelijkheid (Webrichtlijnen); o Archivering (NEN-ISO 15489-1 NL, NEN-ISO 16175-1); o Infrastructuur (Generieke Digitale Infrastructuur, aansluiten op Stelsel van Basisregistraties); o Documentatie; o E-facturering. VNG Realisatie 18 Veel normen en standaarden schrijven voor dat bepaalde preventieve testen worden uitgevoerd zodat aangetoond wordt dat aan de betreffende norm wordt voldaan.

GIBIT artikel 8 (Interoperabiliteitseisen, normen en standaarden) en GIBIT artikel 22 (Datauitwisseling) blijven onverkort van toepassing. Aanvullend geldt: De oplossing garandeert veilige en betrouwbare communicatie met interne en externe partijen, met de volgende specifieke eisen: • Digikoppeling 18 o Voor berichtenuitwisseling met overheidsvoorzieningen wordt Digikoppeling gebruikt conform de geldende Logius- standaarden.

Logius, Digikoppeling).

De oplossing (zowel de basisapplicatie als overige modules) voldoet aantoonbaar aan de toegankelijkheidseisen vanuit EN 301 549 en WCAG-versie 2.2 niveau AA (Web Content Accessibility Guidelines).

72 1 Verwerkerso Verwerkersovereenkomst 4.2 en GIBIT 28 Bent u bereid audits te beperken tot maximaal één keer per jaar, met een aankondiging van ten minste 30 dagen vooraf, en alleen als een geldige certificering (ISO 27001/NEN 7510) of TPM onvoldoende uitsluitsel geeft?

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

Om aan zijn plichten uit artikel 38 van de Inkoopvoorwaarden te voldoen, overlegt Leverancier op verzoek een ISO-certificering (ISO 27001 of NEN 7510), ISO 9001-2015).

Onder koppelingen verstaan we digitaal berichtenverkeer tussen twee applicaties middels een specifiek format (XML, StUF, API etc) 2.9 Koppelingen tussen applicaties zijn geautomatiseerd Als koppelingen tussen applicaties frequent of in grote aantallen worden uitgevoerd dan rechtvaardigt dat de inspanning van het ontwikkelen van geautomatiseerde koppelingen.

• De berichtenstandaard StUF-BG 3.10.

• Beveiligde verbindingen: o Alle communicatie verloopt via beveiligde verbindingen conform de laatst geldende NCSC-richtlijnen voor TLS: TLS 1.3 (minimaal), Sterke cipher suites (bv.

• Gegevens in transport: o Alle communicatie wordt versleuteld conform de laatst geldende NCSC-richtlijnen voor TLS, waarbij minimaal TLS 1.3 wordt toegepast. • Sleutelbeheer: o Cryptografische sleutels worden: Veilig gegenereerd (bv.