TenderNed Standaardenmonitor

4 API Koppeling Evenementen / Container aanvraag – route systeem Het aanvragen van een evenement kan via Vergunning A-evenement aanvragen | www.rotterdam.nl de te leveren of op te halen containers worden d.m.v. een schoonplan aangevraagd 5 API Koppeling Meld-R – route systeem (Integratie met aanvraag procedureaanvraag mutatie container en klachten formulier) – https://www.rotterdam.nl/melding-vraag-of-klacht 6 SAML of OIDC koppeling IAM (gemeente) - Routesysteem Authenticatie en autorisatie koppeling t.b.v. SSO 7 API-Koppeling Back-end Route systeem – front end route systeem Koppeling voor het toewijzen van routes of te rijden gebieden aan het mobiele (IOS) device van een chauffeur/Voertuig.

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Het domein ‘infrastructuur’ omvat onder andere de bouwstenen ‘Diginetwerk’, ‘Digikoppeling’ en ‘PKIoverheid’.

Onder websites vallen ook intra- en extranetten en cloudapplicaties volgens de Europese definitie (zie digitoegankelijk.nl/aan-de-slag/tips/intranetten).

6.3 Normen en standaarden Nr. Standaard/norm Bronnen/referenties E1 Europese standaard EN 301 549 met WCAG 2.1 digitoegankelijk.nl en forumstandaardisatie.nl/standaard/ digitoegankelijk-en-301-549-met-wcag-21 6.4 Tips en toelichting 1.

Op digitoegankelijk.nl/wetgeving/wat-verplicht is beschreven welke verplichtingen gelden, o.a. voor het publiceren van een toegankelijkheidsverklaring. 3.

Om te voorkomen dat websites en apparaten onbereikbaar worden is Internet Protocol versie 6 (IPv6) ontwikkeld.

Alle overheidsorganisaties moeten ook via IPv6 bereikbaar zijn.

Zie: digitaleoverheid.nl/mido/ generieke-digitale-infrastructuur-gdi/ domein-infrastructuur/ G2 Ondersteunen IPv6 Richtlijnen voor IPv6: forumstandaardisatie.nl/open-standaarden/ ipv6-en-ipv4.

KWALITEITSNORMEN Voeg hier uw Beveiligingsborgingssysteem, conform de norm NEN-EN-ISO 27001, of een aantoonbaar gelijkwaardig beveiligingsborgingssysteem toe.

Als Inschrijver beschikt u over een beveiligingsborgingssysteem, conform de norm NEN-EN-ISO 27001, of een aantoonbaar gelijkwaardig beveiligingsborgingssysteem.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS).

10.3 Normen en standaarden Nr. Standaard/norm Bronnen/referenties I1 EN16931 en NLCIUS forumstandaardisatie.nl/openstandaarden/nlcius 10.4 Tips en toelichting 1.

NLCIUS is een aanvullende nationale specificatie op EN16931 voor toepassing in Nederland.

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Ten opzichte van de StUF-standaarden sluiten deze API-standaarden beter aan bij door softwareontwikkelaars gebruikte industriestandaarden.

SSO met Entra ID (SAML en/of OIDC) De applicatie ondersteunt Single Sign On met Microsoft Entra ID via bij voorkeur OIDC.

EN 301 549 en open standaarden De oplossing ondersteunt naleving van EN 301 549 (toegankelijkheid) en voldoet aan verplichte open standaarden voor “Internet en Beveiliging” zoals vastgesteld door Forum Standaardisatie.

• ISO 27001 Internationale norm voor informatiebeveiliging. Pagina 6 van 6 • Tenant-isolatie Scheiding van data tussen verschillende organisaties in één systeem.

Voldoen aan de norm ISO 27001, of vergelijkbare maatregelen, geven aan dat er voldoende aan wordt gedaan om dit te voorkomen.

Informatiebeveiliging: Inschrijver beschikt over een managementsysteem voor informatiebeveiliging. Bewijsstuk: ISO 27001 of gelijkwaardig.

Versleuteling verbindingen en data Alle dataverbindingen zijn beveiligd met TLS 1.2 of hoger.

F05 Eis Integraties vinden plaats op basis van open en gangbare standaarden en protocollen (zoals SCIM, SAML, OAuth2/OpenID Connect of vergelijkbare standaarden waar passend).

Voor andere koppelingen (zoals API’s en inloggen) worden gangbare standaarden gebruikt (bijv. OAuth2, OpenID Connect of SAML).

G11 Eis Bij gebruik van gemeentelijke domeinen worden DNSSEC en CAA-records toegepast. Versterkt domeinbeveiliging. G12 Eis De web-based user interface is benaderbaar via de binnen de gemeentelijke werkplek ondersteunde browsers (in ieder geval Microsoft Edge), zonder gebruik van aanvullende plugins of extensies.

Het betreft normen en standaarden die de volgende ICT-kwaliteitsgebieden afdekken (tussen haakjes staan ter verduidelijking voorbeelden van betreffende normen en standaarden): • Architectuur (GEMMA); • Interoperabiliteit (NEN3610, STuF, API-standaarden SUWIML, Digikoppeling, iWMO); • Informatiebeveiliging en privacy (Baseline Informatiebeveiliging Overheid, Standaardverwerkersovereenkomst); • Dataportabiliteit; • Metadatering (TMLO/MDTO); • Toegankelijkheid (EN 301 549/WCAG); • Archivering (NEN-ISO 15489-1 NL, KIDO); • Infrastructuur (Generieke Digitale Infrastructuur, aansluiten op Stelsel van Basisregistraties); • Documentatie; • E-facturering. VNG Realisatie 13 Standaarden of versies van standaarden die nog in ontwikkeling zijn, vallen buiten de GIBIT.

Het betreft normen en standaarden die de volgende ICT-kwaliteitsgebieden afdekken (tussen haakjes staan ter verduidelijking voorbeelden van betreffende normen en standaarden): • Architectuur (GEMMA); • Interoperabiliteit (NEN3610, STuF, API-standaarden SUWIML, Digikoppeling, iWMO); • Informatiebeveiliging en privacy (Baseline Informatiebeveiliging Overheid, Standaardverwerkersovereenkomst); • Dataportabiliteit; • Metadatering (TMLO/MDTO); • Toegankelijkheid (EN 301 549/WCAG); • Archivering (NEN-ISO 15489-1 NL, KIDO); • Infrastructuur (Generieke Digitale Infrastructuur, aansluiten op Stelsel van Basisregistraties); • Documentatie; • E-facturering. VNG Realisatie 13 Standaarden of versies van standaarden die nog in ontwikkeling zijn, vallen buiten de GIBIT.

Bewijs dat u beschikt over een ISO 27001 certificaat of gelijkwaardig.

Dient de leverancier aantoonbare BIO2-compliance te kunnen overleggen, bijvoorbeeld via een ISO 27001-certificering met expliciete BIO2-overlay?

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

Niet-functionele eisen – Security en privacy Nr Type Eis Toelichting G01 Eis Alle communicatie tussen gebruikers, de IAM-oplossing en gekoppelde systemen verloopt via versleutelde verbindingen conform actuele ‘Pas toe of leg uit’-standaarden (minimaal TLS 1.2 of hoger).

G09 Eis Koppelingen zoals genoemd in F01 worden gerealiseerd via beveiligde verbindingen (minimaal TLS 1.2).

Identiteit en toegangsmanagement 15.1 Webgebaseerde single sign-on (SSO) is mogelijk en wordt ondersteund via OpenIDConnect (OAuth) / SAML v2-protocol en is gekoppeld aan SURFconext/AzureAD/EntraID.

Bruikbaarheid 10.1 Indien de IT-Oplossing een internet browser vereist, dan dient deze te voldoen aan Web Content Accessibility Guidelines (WCAG) niveau A en AA (als beschreven in EN 301 549).

De resultaten van de requests voldoen aan standaard http codes en/of conform de SOAP-standaard (Web Service/WCF Service over https) of REST XML/JSON (HTTP GET, HTTP POST, HTTP PUT, HTTP DELETE) over HTTPS.

18.5 De IT-Oplossing dient (t.a.v. informatiebeveiliging) aantoonbaar te voldoen aan marktconforme certificering, bijvoorbeeld ISO27001 of gelijkwaardig, of toont dit minimaal elke 2 jaar aan middels het ROSA self assessment dat correspondeert met de BIV classificatie van de IT-Oplossing. 18.6 De beveiligingsmaatregelen bij de Opdrachtnemer zijn aantoonbaar volgens de systematiek ISO 27001 of SOC 2 type II ingevoerd.

Het oordeel van de toetsing wordt vastgelegd in deze bijlage onder a. Het CISO Office beoordeelt de beveiligingsmaatregelen en heeft hiervoor nodig: - BIV-classificatie - ISO 27001 certificering - Verklaring van Toepasselijkheid op de ISO 27001 certificering Of - Een door de leverancier ingevuld SURF normenkader als er geen ISO certificaat is.

De Oplossing ondersteunt Single Sign-On via de IAM-voorziening van Opdrachtgever, op basis van SAML 2.0 en/of OpenID Connect/OpenID.NLGov, voor zover ondersteund Pagina 14 door de door Opdrachtgever gebruikte IAM-voorziening. Voor autorisatie van toegang tot REST-API’s wordt, voor zover van toepassing, gebruikgemaakt van OAuth 2.0 conform het voor de Nederlandse overheid geldende profiel.

De door de Oplossing gebruikte publiek bereikbare domeinnamen ondersteunen DNSSEC voor zover dit technisch van toepassing is.

Het betreft normen en standaarden die de volgende ICT-kwaliteitsgebieden afdekken (tussen haakjes staan ter verduidelijking voorbeelden van betreffende normen en standaarden, waarbij opvolgende versies ook onder de normen vallen): • Architectuur (GEMMA); • Interoperabiliteit (NEN3610, Stuf, SUWIML, Digikoppeling, iWMO); • Beveiliging (Baseline Informatiebeveiliging Gemeenten); • Dataportabiliteit; • Metadatering (TMLO); • Toegankelijkheid (Webrichtlijnen); • Archivering (NEN-ISO 15489-1 NL, NEN-ISO 16175-1); • Infrastructuur (Generieke Digitale Infrastructuur, aansluiten op Stelsel van Basisregistraties); • Documentatie; • E-facturering. Veel normen en standaarden schrijven voor dat bepaalde preventieve testen worden uitgevoerd zodat aangetoond wordt dat aan de betreffende norm wordt voldaan.

Daarnaast heeft het uitgebreide import en export functionaliteit in diverse gangbare formaten (DWG, DXF, DGN, SHP, Geopackage, FileGeodatabase, GeoPDF, GML , XML etc.). Binnen de gemeente Lansingerland wordt binnen de BGT zoveel als mogelijk gewerkt met standaard BGT-IMGeo-objecten en -attributen.

Voor het tekenen van de geometrie kunnen bestanden in gangbare CAD- en GIS-formaten (waaronder DGN-formaat, DWG-formaat, Geopackage, ESRI-shape) en GML-formaat als referentielaag gekoppeld worden.

Met de Oplossing kunnen exports gemaakt (gegenereerd) worden en bestaat de mogelijkheid om met behulp van selecties en filters alle aanwezige data te exporteren in diverse gangbare formaten, zoals DWG, DXF, DGN, SHP, Geopackage, FileGeodatabase, CityGML, GeoPDF, GML , GML Light, XML, GeoJSON, CSV, XLSX.

Voor internetverbindingen wordt gebruikgemaakt van HTTPS met een actueel en veilig TLS-profiel, waarbij minimaal TLS 1.2 en waar technisch mogelijk TLS 1.3 wordt ondersteund, conform de actuele richtlijnen van het NCSC en de verplichte open standaarden van het Forum Standaardisatie.

Geschiktheidseis 5: Informatieveiligheid – ISO27001 Opdrachtnemer en zijn Hostingpartner dienen in het bezit te zijn van een geldig ISO 27001 certificaat of aantoonbaar gelijkwaardig.

Indien u al in het bezit bent van een geldig certificaat en een verklaring van toepasselijkheid of een ander keurmerk/verklaring dat gelijkwaardig is aan ISO 27001, voeg deze dan toe aan uw inschrijving. Uitvoeringsvoorwaarden: U overlegt jaarlijks een op de ISO/IEC 27001-ISO/IEC 27002 gebaseerde TPM (Third Party Mededeling ISAE 3402 SOC 2 type 2), waarmee u aantoont dat uw ICT-dienstverlening voldoet aan de kwaliteitsstandaard.

U toont jaarlijks op een andere wijze aan te voldoen aan de eisen zoals gesteld in de ISO/IEC 27001-ISO/IEC 27002 (of vergelijkbaar), waarbij het uitsluitend aan Opdrachtgever is om te bepalen of de kwaliteit voldoende gewaarborgd is.

Indien u al in het bezit bent van een geldig certificaat en een verklaring van toepasselijkheid of een ander keurmerk/verklaring dat gelijkwaardig is aan ISO 27001, voeg deze dan toe aan uw inschrijving. Uitvoeringsvoorwaarden: U overlegt jaarlijks een op de ISO/IEC 27001-ISO/IEC 27002 gebaseerde TPM (Third Party Mededeling ISAE 3402 SOC 2 type 2), waarmee u aantoont dat uw ICT-dienstverlening voldoet aan de kwaliteitsstandaard.

• Het maken van selecties / filters van objecten in de kaart op basis van een of meerdere NLCSattributen.

De Oplossing ondersteunt de omzetting van BGT/IMGeo-gegevens naar het door Opdrachtgever gebruikte NLCS-formaat.

Indien tevens omzetting van NLCS naar BGT/IMGeo wordt verlangd, dient deze omzetting de voor BGT/IMGeo geldende validatieregels te respecteren.

Ja = 1 Nee = 0 W12 Bestaande API’s worden in de vorm van REST/JSON aangeboden en ontworpen via de ‘standaard REST-API Design Rules’ zoals beschreven door Forum Standaardisatie en beheerd door Logius voor nieuw te bouwen API’s. Ja = 1 Nee = 0 Totaalscore wensen Optellen en invullen Bijlage 2 - Definities Begrip Definitie Aanbestedende dienst Gemeente Lansingerland Postadres: Postbus 1, 2650 AA Berkel en Rodenrijs Bezoekadres: Tobias Asserlaan 1, 2662 SB Bergschenhoek Aanbestedingsstukken/-documenten Alle stukken die door de gemeente zijn opgesteld of vermeld ter omschrijving of bepaling van onderdelen van de aanbesteding of de procedure, waaronder in ieder geval deze aanbestedingsleidraad inclusief bijlagen en de Nota(’s) van Inlichtingen.

De Oplossing is gecertificeerd voor horizontaal berichtenverkeer met BOR via de laatste versie van StUF-Geo IMGeo.

Het biedt standaard IMGeo-functionaliteit en StUF-Geo IMGeo-berichtenverkeer, en biedt de mogelijkheid tot het toevoegen van eigen objecten en attributen.

De Oplossing is gecertificeerd voor verticaal berichtenverkeer met LV-BGT via de laatste versie van StUF-Geo IMGeo.

Voor internetverbindingen wordt gebruikgemaakt van HTTPS met een actueel en veilig TLS-profiel, waarbij minimaal TLS 1.2 en waar technisch mogelijk TLS 1.3 wordt ondersteund, conform de actuele richtlijnen van het NCSC en de verplichte open standaarden van het Forum Standaardisatie.

193 perceel 1 en 2 Vraag 106 / Bijlage 6 - Programma van eisen - 8.4 PvE eis 8.4 vraagt SSO via SAML met Entra ID via SURFconext.

8.4 De ICT Prestatie beschikt over Single Sign-On voor Gebruikers op basis van een SAML met Entra ID van Opdrachtgever of SURFconext.

106 perceel 1 en 2 Bijlage 6 - Programma van eisen - 8.4 Eis 8.4 stelt dat de ICT Prestatie beschikt over Single Sign-On voor Gebruikers op basis van een SAML koppeling met Entra ID van Opdrachtgever via SURFconext.

7.3 De ICT Prestatie voldoet uiterlijk 1 augustus 2027 minimaal aan de eisen volgens WCAG 2.1 niveau AA.

Zo nee graag uw toelichting. Opdrachtgever eist dat de ICT Prestatie voldoet aan de WCAG 2.1 AA norm die sinds 2018 van kracht is (https://wetten.overheid.nl/BWBR0040936/2018-07-01 opgegaan in https://wetten.overheid.nl/BWBR0048156/2025-11-11).

8.7 De ICT Prestatie gebruikt de laatste HTTPS-technieken.

Het uitsluiten van partijen die aantoonbaar werken volgens de ISO 27001-standaarden, maar (nog) niet over het formele certificaat beschikken of gebruikmaken van een onafhankelijk assurance-rapport (zoals ISAE 3402 of een SOC2- verklaring), beperkt de mededinging op onredelijke wijze.

Is de aanbestedende dienst bereid paragraaf 6.3.3 aan te passen, zodat de inschrijver de naleving van de informatiebeveiligingsstandaarden ook op andere, gelijkwaardige wijze aantoonbaar mag maken (bijvoorbeeld door middel van een onafhankelijk auditrapport of een gedetailleerde zelfverklaring met bewijsstukken), in plaats van uitsluitend een formeel ISO 27001-certificaat?

152 perceel 1 en 2 ISO27001-versie U verwijst in diverse documenten naar ISO 27001:2023.

SSO integration design; configuration showing use of OpenID Connect, SAML 2.0 or domain join; test reports for SSO login flows; documentation of trust relationships with Enexis IdP(s); screenshots/logs of successful SSO authentication.

Must 75 Support The application must support single sign‐on (SSO) for users using at least one of the following standards: OpenID Connect (OIDC), SAML 2.0 or domain join (domain join only for non‐SaaS scenarios).

Must 77 Support If SAML is used for SSO, the supplier must configure automatic certificate roll‐over by regularly retrieving and applying updated metadata from the identity provider, and must handle changes to SAML metadata and certificates through the change management process.

Aanvragen 2-5 Het portaal ondersteunt de handmatige intekening van projectgebieden, alsmede de geautomatiseerde (bulk)upload van projectgebieden via minimaal de bestandsformaten [GeoJSON, DXF, DWG, GeoPackage, Shapefile en XML].

Daarnaast ondersteunt het portaal blijkens eis 2-5 de handmatige intekening en de geautomatiseerde (bulk)upload via minimaal GeoJSON, DXF, DWG, GeoPackage, Shapefile en XML, en blijkens eis 2-14 het in een keer inlezen van niet-aaneengesloten traces.

Welk XML-schema bedoelt u: GML, SIKB0101, iets anders?

En telt hosting bij een ISO 27001-gecertificeerde cloudprovider, samen met het certificaat van de inschrijver voor de eigen organisatie, als dekking van de "fysieke locaties"?

Planning op hoofdlijnen ▪ Informatiebijeenkomst: donderdag 10 september 2026, 15:00 – 16:00 uur ▪ Vragen stellen tot uiterlijk: vrijdag 18 september 2026 ▪ Indienen Aanmelding voor: maandag 12 oktober 2026 (09:00 uur) ▪ Beoordelen Aanmeldingen (incl. verificatie bewijsstukken): 12 t/m 15 oktober 2026 ▪ Selectiebeslissing (toelating tot dialoogfase): vrijdag 16 oktober 2026 (alleen Gegadigden die geschikt zijn bevonden, worden uitgenodigd voor de dialoog) Gunningsbeslissing: volgt ná de dialoog- en inschrijvingsfase (naar verwachting vrijdag 12 februari 2027) Eisen aan de inschrijvers ▪ Inschrijving in het nationale beroeps- of handelsregister (KvK) ▪ ISO 9001:2015 (Kwaliteitsmanagement) en ISO 27001 (Informatiebeveiliging), geldig voor de locatie(s) waar de werkzaamheden worden uitgevoerd, of aantoonbaar gelijkwaardig, dan wel een aantoonbaar lopend certificeringstraject (zie GE-4 en GE-5) ▪ Bedrijfsaansprakelijkheidsverzekering (min. € 2.500.000) én beroepsaansprakelijkheidsverzekering (min. € 1.000.000) Enexis Personeel B.V. – Selectieleidraad Zelfscan as a Service – Conditionerende onderzoeken Pagina 4 van 28 ▪ Twee kerncompetenties: (1) SaaS-platform en IT-integratie, aan te tonen met maximaal twee referentieopdrachten die gezamenlijk de gevraagde elementen afdekken; (2) inhoudelijke expertise conditionerende onderzoeken, aan te tonen met maximaal één referentieopdracht.

▪ Prijs (TCO): n.v.t. in de aanmeldfase — er wordt geen prijs gevraagd bij de Aanmelding Bijlagen bij deze Selectieleidraad ▪ Bijlage 1 – Uniform Europees Aanbestedingsdocument (UEA) ▪ Bijlage 2 – Referentieverklaring ▪ Bijlage 3 – Concept Programma van Eisen ▪ Bijlage 4 – Concept NFR-Architectuur ▪ Bijlage 5 – Concept KPI-set ▪ Bijlage 6 – Samenvatting Marktconsultatie ▪ Bijlage 7 – Enexis Gedragscode voor Leveranciers (Supplier Code of Conduct) ▪ Bijlage 8 – Ruslandverklaring ▪ Bijlage 9 – Toekomstvisie Conditionerende Onderzoeken Enexis ▪ Bijlage 10 – Combinatieverklaring ▪ Bijlage 11 – Holdingverklaring ▪ Bijlage 12 – Concept Governance en Rapportage ▪ Bijlage 13 – Concept SLA ▪ Bijlage 14 – Algemene Inkoopvoorwaarden Gezamenlijke Opdrachten Netbeheerders ▪ Bijlage 15 – Presentatie Informatiebijeenkomst In te dienen documenten ▪ Bijlage 1 – UEA, rechtsgeldig ondertekend ▪ KvK-uittreksel (niet ouder dan 6 maanden) — GE-1 ▪ Bewijs financiële en economische draagkracht (Graydonrapportage of gelijkwaardig kredietinformatierapport, óf accountantsverklaring) — GE-2 ▪ Bewijs bedrijfs- én beroepsaansprakelijkheidsverzekering — GE-3 ▪ Bewijs ISO 9001:2015-certificering (incl. scope/locatie) — GE-4 ▪ Bewijs ISO 27001-certificering (incl. scope/locatie) — GE-5 ▪ Verklaring gegevensbescherming en dataverwerking binnen de EER — GE-6 ▪ Bijlage 2 – Referentieverklaring(en) (max. twee voor kerncompetentie 1, max. één voor kerncompetentie 2; één referentieopdracht mag beide kerncompetenties afdekken) ▪ Verklaring betalingsgedrag Belastingdienst ▪ Verklaring m.b.t. sancties Rusland (Bijlage 8) ▪ Combinatieverklaring (Bijlage 10) indien van toepassing ▪ Holdingverklaring (Bijlage 11) indien van toepassing Enexis Personeel B.V. – Selectieleidraad Zelfscan as a Service – Conditionerende onderzoeken Pagina 5 van 28 DEFINITIES In deze Selectieleidraad hebben de onderstaande begrippen de volgende betekenis wanneer zij met een hoofdletter geschreven zijn: Naam of afkorting Omschrijving Aanbestedende Dienst Enexis Personeel B.V., mede handelend ten behoeve van de overige tot de groep behorende ondernemingen, waarbij Enexis Personeel B.V. als een speciale sectorbedrijf kwalificeert.

De exacte afbakening tussen background IP van Opdrachtnemer en de voor Opdrachtgever gegenereerde resultaten is onderwerp van de dialoogfase en wordt vastgelegd in de concept-(raam)overeenkomst. Fase: Aanmeldfase Inschrijfronde: - Vragenronde: Vragenronde 1 Nota van inlichtingen TN-609402 - 25 sep 2026 Pagina 21 van 160 Beantwoord op: 25 sep 2026 Percelen: P1 Zelfscan as a Service - Conditionerende Onderzoeken Ref.nr. Onderwerp: 35 Bijlage 3 - Concept Programma van Eisen, eis 5-3 "Data-uitwisseling met bevoegd gezag en Opdrachtgever geschiedt conform de vigerende SIKB0101 protocollen", pagina 7 van 9.

In welk formaat (SIKB0101?)

5-3 Data-uitwisseling met bevoegd gezag en Opdrachtgever geschiedt conform de vigerende SIKB0101 protocollen.

Must 54 Security & Privacy Cryptography All data in transit between clients, services and integrated systems that involve customer data must be protected using strong, up‐to‐date cryptographic protocols (for example TLS 1.2 or higher) and secure configurations (no weak ciphers, no deprecated protocols).

Medewerker Authenticatie & SSO • SAML 2.0 of nieuwer • OIDC, OAUth 2.0 of nieuwer • RBAC • Least privilige • Vereist is een koppeling met de gemeentelijke, Entra ID op basis van een van de genoemde standaarden.

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Verbinding • HTTPS • HSTS • TLS 1.2 of nieuwer • DNSSEC • TLS 1.3 of nieuwer • IPv6 • Voor burgers en bedrijven toegankelijke voorzieningen moeten zowel via IPv4 als IPv6 bereikbaar zijn.

Kunt u toelichten welke standaarden en technieken u hanteert bij het ontwikkelen en onderhouden van deze koppelingen (zoals bijvoorbeeld iStandaarden, API’s, of Digikoppeling)?

Onder websites vallen ook intra- en extranetten en cloudapplicaties volgens de Europese definitie (zie https://www.digitoegankelijk.nl/wetgeving/specifieke-situaties/intranetten-extranetten-en-cloudapplicaties).

6.3 Normen en standaarden Nr. Standaard/norm Bronnen/referenties E1 Europese standaard EN 301 549 met WCAG 2.1 digitoegankelijk.nl en forumstandaardisatie.nl/standaard/ digitoegankelijk-en-301-549-met-wcag-21 6.4 Tips en toelichting 1.

Op digitoegankelijk.nl/wetgeving/wat-verplicht is beschreven welke verplichtingen gelden, o.a. voor het publiceren van een toegankelijkheidsverklaring. 3.

Verbinding • HTTPS • HSTS • TLS 1.2 of nieuwer • DNSSEC • TLS 1.3 of nieuwer • IPv6 • Voor burgers en bedrijven toegankelijke voorzieningen moeten zowel via IPv4 als IPv6 bereikbaar zijn.

8.3 Normen en standaarden Nr. Standaard/norm Bronnen/referenties G1 Aansluiten op voorzieningen uit de GDI Het overzicht van de GDI is gegeven op digitaleoverheid.nl/mido/generieke-digitaleinfrastructuur-gdi 22 G2 Aansluiten op gemeentelijke voorzieningen en afspraken: - Ondersteunen IPv6 - GGI Netwerk - Aansluiting op Gemeentelijk GegevensKnooppunt (GGK) - Nationaal Parkeer Register De GGI wordt onder regie van VNG Realisatie doorontwikkeld: https://vng.nl/artikelen/ gemeentelijke-gemeenschappelijkeinfrastructuur-ggi Richtlijnen voor IPv6 in ICT-apparatuur: forumstandaardisatie.nl/sites/ bfs/files/atoms/files/ripe-554-nl.pdf G3 Toepassen Haven binnen het werkingsgebied van deze standaard (zie ook toelichting hieronder) haven.commonground.nl/techniek/de-standaard 8.4 Tips en toelichting 1.

Verbinding • HTTPS • HSTS • TLS 1.2 of nieuwer • DNSSEC • TLS 1.3 of nieuwer • IPv6 • Voor burgers en bedrijven toegankelijke voorzieningen moeten zowel via IPv4 als IPv6 bereikbaar zijn.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

De Aanbestedende dienst moet met de voorgestelde oplossing volledig kunnen voldoen aan de Privacy-wetgeving (AVG), de Baseline Informatiebeveiliging Overheid (BIO) of ISO 27001 en Archiefwet.

Bewijs hiervan kan worden geleverd door het beschikken over een actueel bewijs van certificering conform ISO 27001 (of ISAE 3000).

10.3 Normen en standaarden Nr. Standaard/norm Bronnen/referenties I1 EN16931 en NLCIUS forumstandaardisatie.nl/openstandaarden/nlcius 10.4 Tips en toelichting 1.

NLCIUS is een aanvullende nationale specificatie op EN16931 voor toepassing in Nederland.

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Ten opzichte van de StUF-standaarden sluiten deze API-standaarden beter aan bij door softwareontwikkelaars gebruikte industriestandaarden.

Informatielaag 5 Voor de uitwisseling van gegevens is het gebruik van de meest actuele StUFstandaarden, waar deze bestaan en nog niet vervangen zijn door een API-standaard, verplicht.

Verbinding • HTTPS • HSTS • TLS 1.2 of nieuwer • DNSSEC • TLS 1.3 of nieuwer • IPv6 • Voor burgers en bedrijven toegankelijke voorzieningen moeten zowel via IPv4 als IPv6 bereikbaar zijn.

Europese aanbesteding Sociaal Domein Applicatie, gemeente Midden-Drenthe, zaaknummer 5014298 6 De Oplossing omvat diverse koppelingen en berichtenuitwisselingen: - met ketenpartners (o.a. iBerichten, DKD-uitwisseling, IB-berichten, CORV, CBS-leveringen); - met externe partijen ten behoeve van bedrijfsvoering (o.a. XBRL, SEPA); - met (generieke) voorzieningen in het applicatielandschap van Gemeente Midden-Drenthe (o.a. financieel Systeem, DocumentcreatieSysteem, DWH/BI, Makelaarsuite).

Eis 45 De aangeboden oplossing is toegankelijk door middel van Single Sign-On (SSO), zodat medewerkers met één set inloggegevens toegang krijgen tot alle onderdelen van de oplossing (finance, HR etc.), via een door VeiligheidNL beheerde identity provider conform een gangbare standaard (bijvoorbeeld SAML 2.0 of OpenID Connect).

Niet akkoord, Echter, de voorgestelde certificeringen (ISAE 3402 type 2, ISO 27001, ISO 9001) kunnen worden gehanteerd als praktische invulling van de informatieverstrekking van art. 5.2 ARBIT-2022.

Voor elke inschrijver, ongeacht de inschrijvingsvorm n.v.t. Uittreksel uit het handelsregister Niet ouder dan zes maanden vanaf de uiterste inschrijftermijn Voor elke inschrijver, ongeacht de inschrijvingsvorm n.v.t. Bewijs waaruit uw volmacht blijkt Rechtsgeldig ondertekend door de bevoegde vertegenwoordiger conform het Handelsregister Alleen als uit het uittreksel handelsregister niet uw tekeningsbevoegdheid blijkt n.v.t. Bewijs waaruit uw handelsbevoegdheid blijkt Niet ouder dan zes maanden vanaf de uiterste inschrijftermijn Alleen indien u in het buitenland gevestigd bent n.v.t. Kopie ISO 9001 Of gelijkwaardig alternatief, conform paragraaf 4.3.4 Voor elke inschrijver, ongeacht de inschrijvingsvorm n.v.t. Kopie ISO 27001 met Verklaring van Toepasselijkheid Of gelijkwaardig alternatief, conform paragraaf 4.3.5 Voor elke inschrijver, ongeacht de inschrijvingsvorm Checklist Inschrijving 3 In te dienen documenten bij verificatie / gunning De beoogde winnaar overlegt de volgende documenten bij verificatie: Nr Document Voorwaarden Wanneer van toepassing n.v.t. Verklaring beschikking middelen derde Een rechtsgeldig ondertekende schriftelijke verklaring van de derde dat hij voor deze Opdracht wordt ingezet en middelen ter beschikking heeft en stelt Alleen in geval Inschrijver een beroep heeft gedaan op een derde in het kader van de financiële of economische draagkracht of de technische bekwaamheid of beroepsbevoegdheid n.v.t. Holdingverklaring Rechtsgeldig ondertekent - Verklaring o.b.v. artikel 2:403 BW - Concerngarantie waaruit blijkt dat de holding of het moederconcern zich bij gunning van de Opdracht aan Inschrijver, volledig en zonder voorwaarden garant stelt voor de nakoming van alle verplichtingen, die voortvloeien uit de voor de Opdracht te sluiten Overeenkomst(en).

Kunt u bevestigen of de combinatie van een ISO 27001- Ja, VeiligheidNL accepteert voor paragraaf 4.3.6 de combinatie van een geldig ISO 27001-certificaat en een ISAE 3402 Type II-verklaring als gelijkwaardig alternatief Nota van Inlichtingen 1 8 # document Verwijzing Pag Vraag Antwoord certificering (reeds vereist via par.

Eis 46 De aangeboden oplossing past encryptie toe op data-at-rest en data-in-transit, conform algemeen erkende standaarden (bijv. AES-256 voor opslag, TLS 1.2 of hoger voor dataverkeer).

Vraag 4 – Standaardkoppelingen platform Vrijwel alle partijen noemen standaardkoppelingen voor SSO (Entra ID/Azure AD, SAML/OAuth/OIDC), HR-systemen (o.a. AFAS/Youforce/Visma/Nmbrs) en leerstandaarden (SCORM, LTI; soms xAPI/CMI5).

Het betreft normen en standaarden die de volgende ICT-kwaliteitsgebieden afdekken (tussen haakjes staan ter verduidelijking voorbeelden van betreffende normen en standaarden, waarbij opvolgende versies ook onder de normen vallen): • Architectuur (GEMMA); • Interoperabiliteit (NEN3610, Stuf, SUWIML, Digikoppeling, iWMO); • Beveiliging (Baseline Informatiebeveiliging Gemeenten); • Dataportabiliteit; • Metadatering (TMLO); • Toegankelijkheid (Webrichtlijnen); • Archivering (NEN-ISO 15489-1 NL, NEN-ISO 16175-1); • Infrastructuur (Generieke Digitale Infrastructuur, aansluiten op Stelsel van Basisregistraties); • Documentatie; • E-facturering. Veel normen en standaarden schrijven voor dat bepaalde preventieve testen worden uitgevoerd zodat aangetoond wordt dat aan de betreffende norm wordt voldaan.

De BIO2 is gebaseerd op de laatste versie van de ISO 27001 en de ISO 27002.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

De BIO2 is gebaseerd op de laatste versie van de ISO 27001 en de ISO 27002.