Authenticatie-standaarden (OpenID.NLGov en SAML) (Pas toe of leg uit) — 1 vermelding
term SAML
5.4 De websites kennen een architectuurmodel waarin het mogelijk is om inhoud van andere systemen
te hergebruiken of inhoud voor andere systemen beschikbaar te stellen, gebruikmakend van
5
standaard koppelvlakken (als REST API, webhooks, SAML, etc.).
5.5 Toegang tot de websites zijn op basis van federatieve single identiteit via SAML 2.0 (Azure AD/IDP) of
via SURFconext en een Claims based authenticatie.
Digitoegankelijk (EN 301 549 met WCAG 2.1) (Pas toe of leg uit) — 2 vermeldingen
term WCAG 2.1
o Kerncompetentie 3: aantoonbare ervaring met de realisatie en borging van minimaal WCAG 2.1 niveau
AA voor een publiek toegankelijke website.
term WCAG 2.1
• Kerncompetentie 3: aantoonbare ervaring met de realisatie en borging van minimaal WCAG 2.1 niveau AA
voor een publiek toegankelijke website.
HTTPS en HSTS (Pas toe of leg uit) — 1 vermelding
term HTTPS
6.6 De webomgevingen voldoen aan de volgende technische minimumvereisten: HTTPS-only
communicatie is verplicht, inclusief HSTS-header; TLS 1.0 en TLS 1.1 zijn uitgeschakeld; er is een Web
Application Firewall (WAF) aanwezig; de OWASP Top 10 kwetsbaarheden zijn aantoonbaar
Field Code Changed
6
geadresseerd; HTTP-beveiligingsheaders zijn geconfigureerd (waaronder Content Security Policy en XFrame-Options); er wordt geen end-of-life software of end-of-life frameworks gebruikt.
NEN-ISO/IEC 27001 (Pas toe of leg uit) — 17 vermeldingen
term ISO 27001
Van de opdrachtnemer wordt verwacht dat de hosting- en beheeromgeving voldoet aan een
beveiligingsniveau vergelijkbaar met ISO 27001.
term ISO 27001
Een geldig ISO 27001-certificaat volstaat als bewijs.
term ISO 27001
Bijlage 4 Programma
van Eisen, eis 6.1
Eis 6.1 stelt dat de dienstverlening wordt ingericht conform de
principes van ISO 27001 of een gelijkwaardig certificaat zoals SOC 2
Type II.
Aanbestedende dienst: Gemeente Diemen, Gemeente Uithoorn, Gemeente Ouder-Amstel (DUO gemeenten) (Openbaar Lichaam op basis van gemeenschappelijke regeling)
Bestuurslaag: Gemeente (via naam aanbestedende dienst)
Digitoegankelijk (EN 301 549 met WCAG 2.1) (Pas toe of leg uit) — 1 vermelding
term WCAG 2.1
Als norm voor de toegankelijkheid van reisinformatie op websites geldt het waarmerk Drempelvrij/Digitall
Inclusive, website voldoet aan WCAG 2.1 en niveau AA (zie www.digitallinclusive.nl).
NEN-ISO/IEC 27001 (Pas toe of leg uit) — 3 vermeldingen
term ISO 27001
Artikel 6 Beveiligingsmaatregelen en datalekken
5.1 De Verwerkersverantwoordelijke neemt alle passende technische en organisatorische maatregelen om de Persoonsgegevens die worden verwerkt te beveiligen en beveiligd te houden
tegen verlies of tegen enige vorm van onzorgvuldige, onrechtmatige of ongeoorloofde verwerking. De te treffen maatregelen zijn vastgelegd in de Baseline Informatiebeveiliging
Overheid (voor niet gemeenten in de NEN/ISO 27001 en 27002 standaard).
term ISO 27001
X
Cao-verklaring Een verklaring van
Sociaal Fonds Mobiliteit
(hierna: SFM) om aan te
tonen dat de bepalingen
van de Collectieve
Arbeidsovereenkomst
Zorgvervoer en Taxi
getrouwelijk wordt
nageleefd
X
TX-keurmerk Een geldig TX-keurmerk
(of aantoonbaar
vergelijkbaar)
X
Bekwaamheid ten aanzien
van kwaliteitsborging,
informatiebeveiliging en
privacy
Een bewijsstuk van de
ISO 27001 certificering
of gelijkwaardige
maatregelen op het
X
RIJK | Checklist bewijsstukken DUO DM OA UH 202412 PRJ-2400340 Doelgroepenvervoer DUO+ | versie 1.0
3
gebied van
informatiebeveiliging.
Verklaring financiële en
economische draagkracht
Format Bijlage K X
Gegevensuitwisselings
overeenkomst
Bijlage P X
GC: Gunningscriteria
Kwaliteit Beschrijving bij het
subgunningcriterium 1
Maximaal 4 A4
X In TenderNed bij
gunningcriterium kwaliteit
Kwaliteit Beschrijving bij het
subgunningcriterium 2
Maximaal 2 A4
X In TenderNed bij
gunningscriterium kwaliteit
Kwaliteit Beschrijving bij het
subgunningcriterium 3
Maximaal 2 A4
X In TenderNed bij
gunningcriterium kwaliteit
Prijs Inschrijvingsbiljet bijlage
B
X Ondertekend in TenderNed
bij gunningscriterium prijs
Prijs Tarievenblad Bijlage O X In TenderNed bij
gunningcriterium prijs
Overige bijlagen (deze zijn ter ondersteuning en hoeven niet ingediend te worden)
Programma van Eisen Bijlage A1 en A2 Nvt Nvt
Conceptovereenkomst Bijlage E
Concept wachtkamer
overeenkomst
Bijlage F
VNG Algemene
Inkoopvoorwaarden
Bijlage H
Concept klachtenprocedure Bijlage J
Factuurformats Bijlage M+N
Uitvoeringsvoorwaarden
SROI
Bijlage Q
In opdracht van: Gemeenten Diemen, Uithoorn en Ouder-Amstel
Projectnummer: 2038-PvE LLV-C06
15 mei 2026
Programma van Eisen Leerlingenvervoer
EU-aanbesteding Doelgroepenvervoer
DUO-gemeenten
Pagina 2 van 37
EU-aanbesteding leerlingenvervoer – Programma van Eisen
1.
term ISO 27001
3.4 OVERIGE EISEN
Bekwaamheid ten aanzien van kwaliteitsborging, informatiebeveiliging en privacy:
RIJK | aanbestedingsdocument Europese openbare procedure DUO DM OA UH 202412 PRJ2400340 Doelgroepenvervoer DUO-GEMEENTEN | versie 1.0 22
o Bewijsmiddelen ten behoeve van informatiebeveiliging;
• ISO 27001 certificering of gelijkwaardige maatregelen op het gebied van
informatiebeveiliging.
De beveiliging van informatie van de te verwerken gegevens wordt voornamelijk
bepaald door de wijze waarop kwaliteitsborging en kwaliteitscontrole zijn
georganiseerd in de organisatie van gegadigde.
Bestuurslaag: Ministerie (via naam aanbestedende dienst)
Digitoegankelijk (EN 301 549 met WCAG 2.1) (Pas toe of leg uit) — 15 vermeldingen
term EN 301 549
EN 301 549
Europese richtlijn digitale toegankelijkheid.
term EN 301 549
WCAG
Internationale standaard voor toegankelijkheid, niveau A en AA is onderdeel van
Europese richtlijn EN 301 549.
term EN 301 549
De dienstverlening moet aansluiten op de
geldende wet- en regelgeving en de daarbij behorende normen en richtlijnen voor
digitale toegankelijkheid, waaronder EN 301 549 en de WCAG-richtlijnen.
+12 meer vermeldingen — zie de publicatie.
NEN-ISO/IEC 27001 (Pas toe of leg uit) — 1 vermelding
term ISO/IEC 27001
https://www.biooverheid.nl/bio2/bio-producten/baseline-informatiebeveiligingoverheid-2-bio2/
Dit kan de Inschrijver aantoonbaar maken door een geldig certificaat
conform NEN-EN-ISO/IEC 27001 of een aantoonbaar gelijkwaardige
certificering of norm aan te tonen.
Organisatie die nadere inlichtingen over de aanbestedingsprocedure verstrekt
Organisatie die verzoeken tot deelname ontvangt
Organisatie voor beroepsprocedures
Organisatie die meer informatie geeft over beroepsprocedures
Low-code Oplossing — 10 standaarden
AdES Baseline ProfilesAuthenticatie-standaarden (OpenID.NLGov en SAML)DigikoppelingDigitoegankelijk (EN 301 549 met WCAG 2.1)HTTPS en HSTSIPv6NEN-ISO/IEC 27001NEN-ISO/IEC 27002NL GOV Assurance profile for OAuth 2.0TLS
Aanbestedings-ID: k:570920 · Publicatiedatum: 2026-10-14 · Type: AGO
AdES Baseline Profiles (Pas toe of leg uit) — 2 vermeldingen
term AdES Baseline Profiles
Opdrachtgever committeert zich aan het gebruik van de van toepassing zijnde en de verplichte
standaarden van het Forum Standaardisatie in relatie tot de Low-code Oplossing. Het betreft de
volgende streefbeeldafspraken informatieveiligheid conform
https://www.forumstandaardisatie.nl/onderwerpen/veilig-internet/streefbeeldafspraken:
• Ades Baseline Profiles
De ‘AdES Baseline Profiles’ moeten worden toegepast op de ondertekening van XML-,
CMS-, PDF- en ZIP-bestanden met geavanceerde en/of gekwalificeerde elektronische
handtekeningen, zegels of tijdstempels.
term AdES Baseline Profiles
Hogere eisen aan certificaten vloeien voort uit een
risicoanalyse, aansluitvoorwaarden of wetgeving.
16
Overheidsmaatregelnummer
Overheidsmaatregel
5.14.03 Geavanceerde en/of gekwalificeerde elektronische
handtekeningen voldoen aan de Advanced Electronic
Signatures (AdES Baseline Profiles), zoals opgenomen in de
Lijst open standaarden van Forum Standaardisatie.
Authenticatie-standaarden (OpenID.NLGov en SAML) (Pas toe of leg uit) — 5 vermeldingen
term Security Assertion Markup Language
Security Assertion Markup Language (SAML):
Een op XML gebaseerde standaard voor het uitwisselen van authenticatie- en
autorisatiegegevens tussen domeinen.
term SAML
De Low-code Oplossing ondersteunt minimaal de volgende mogelijkheden voor het
beveiligen van API's en/of webservices:
• TLS 1.3;
• OAuth, SAML, OIDC (ondersteunt of mogelijkheid om in te bouwen);
• Encryptie (door het Low-code Oplossing).
term Security Assertion Markup Language
ICT begrippenlijst | Low-code oplossing | IUC IUC25-011
Belastingdienst | 15 april 2026 pagina 3 van 18
Afkorting Begrip
OWASP Open Web Application Security Project
Prio Prioriteit
PVA Plan van aanpak
QT Quantumtechnologie
RBAC Role Based Access Control
RDMMS Relational Database Management Systemen
RPO Recovery Point Objective
RTO Recovery Time Objective
SAML Security Assertion Markup Language
SBOM Software Bill Of Materials
SLA Service Level Agreement
SOW Statement of Work
SPOC Single Point of Contact
SSL Secure Socket Layer
SSO Single Sign-On
TLS Transport Layer Security
UE Uitvoeringseis
UEA Uniform Europees Aanbestedingsdocument
VE Vormeis/Vormvereiste
Bijlage 1.
+2 meer vermeldingen — zie de publicatie.
Digikoppeling (Pas toe of leg uit) — 1 vermelding
term Digikoppeling
• Digikoppeling
Digikoppeling moet worden toegepast bij digitale gegevensuitwisseling die plaatsvindt
met voorzieningen die onderdeel zijn van de GDI, waaronder de basisregistraties, of die
sector overstijgend is.
Digitoegankelijk (EN 301 549 met WCAG 2.1) (Pas toe of leg uit) — 1 vermelding
term Digitoegankelijk
Geautomatiseerde gegevensuitwisseling tussen informatiesystemen op basis van
NEN3610 is uitgesloten van het functioneel toepassingsgebied.
• Digitoegankelijk (EN 301 549 met WCAG 2.1)
Digitoegankelijk (EN 301 549 met WCAG 2.1) moet worden toegepast op het aanbieden
van webgebaseerde informatie-, interactie-, transactie- en participatiediensten.
HTTPS en HSTS (Pas toe of leg uit) — 1 vermelding
term HTTPS
• HTTPS en HSTS
HTTPS en HSTS moeten worden toegepast op de communicatie tussen clients (zoals
webbrowsers) en servers voor alle websites en webservices.
IPv6 (Pas toe of leg uit) — 3 vermeldingen
term IPv6
• IPv6
IPv6 moet op digitale diensten en op netwerken en apparaten worden toegepast. Dit
betekent ten eerste dat digitale diensten, zoals websites en e-mailservers, bereikbaar
moeten zijn via IPv6.
term IPv6
Ten tweede betekent dit dat netwerken IPv6 moeten aanbieden
en dat apparaten zo moeten worden geconfigureerd dat IPv6 wordt gebruikt indien
aangeboden.
term IPv6
In veel gevallen zal het vanwege interoperabiliteit noodzakelijk blijven om
naast IPv6 ook IPv4 toe te passen.
NEN-ISO/IEC 27001 (Pas toe of leg uit) — 26 vermeldingen
term ISO 27001
Deze regelgeving is gebaseerd op de
NEN/ISO 27001:2017 en de NEN/ISO 27002:2022, en bevat daarnaast aanvullende beveiligingseisen.
term ISO/IEC 27001
De
BIO2 beschrijft de invulling van NEN-EN-ISO/IEC 27001:2023 en NEN-EN-ISO/IEC
27002:2022 voor de overheid.
term ISO/IEC 27001
Contextbepaling
NEN-EN-ISO/IEC 27001 vereist dat een entiteit eerst haar context vaststelt om relevante
informatiebeveiligingsrisico’s te identificeren.
+23 meer vermeldingen — zie de publicatie.
NEN-ISO/IEC 27002 (Pas toe of leg uit) — 13 vermeldingen
term ISO 27002
Deze regelgeving is gebaseerd op de
NEN/ISO 27001:2017 en de NEN/ISO 27002:2022, en bevat daarnaast aanvullende beveiligingseisen.
term ISO/IEC 27002
NEN-EN-ISO/IEC 27001 en NEN-EN-ISO/IEC 27002 beschrijven de details voor
implementatie (richtlijnen) en eisen voor de procesinrichting (onder andere het ISMS uit
NEN-EN-ISO/IEC 27001).
term ISO/IEC 27002
Het gebruik van informatie uit NEN-EN-ISO/IEC 27001 en NEN-EN-ISO/IEC 27002 in de
BIO is auteursrechtelijk beschermd.
+10 meer vermeldingen — zie de publicatie.
NL GOV Assurance profile for OAuth 2.0 (Pas toe of leg uit) — 1 vermelding
term NL GOV Assurance profile for OAuth 2.0
• NL GOV Assurance Profile for OAuth 2.0
NL GOV Assurance Profile for OAuth 2.0 moet worden toegepast bij applicaties waarbij
gebruikers of ‘resource owners’ impliciet of expliciet toestemming geven aan een dienst
van een derde om namens deze toegang te krijgen tot Data via een REST API waarvoor
ze recht van toegang hebben.
TLS (Pas toe of leg uit) — 3 vermeldingen
term TLS 1.3
De Low-code Oplossing ondersteunt minimaal de volgende mogelijkheden voor het
beveiligen van API's en/of webservices:
• TLS 1.3;
• OAuth, SAML, OIDC (ondersteunt of mogelijkheid om in te bouwen);
• Encryptie (door het Low-code Oplossing).
term Transport Layer Security
Transport Layer Security (TLS):
Een cryptografisch protocol die Gegevens codeert en een verbinding verifieert bij het overdragen
van Data via het internet.
term Transport Layer Security
ICT begrippenlijst | Low-code oplossing | IUC IUC25-011
Belastingdienst | 15 april 2026 pagina 3 van 18
Afkorting Begrip
OWASP Open Web Application Security Project
Prio Prioriteit
PVA Plan van aanpak
QT Quantumtechnologie
RBAC Role Based Access Control
RDMMS Relational Database Management Systemen
RPO Recovery Point Objective
RTO Recovery Time Objective
SAML Security Assertion Markup Language
SBOM Software Bill Of Materials
SLA Service Level Agreement
SOW Statement of Work
SPOC Single Point of Contact
SSL Secure Socket Layer
SSO Single Sign-On
TLS Transport Layer Security
UE Uitvoeringseis
UEA Uniform Europees Aanbestedingsdocument
VE Vormeis/Vormvereiste
Bijlage 1.
Bestuurslaag: Gemeente (via naam aanbestedende dienst)
Digitoegankelijk (EN 301 549 met WCAG 2.1) (Pas toe of leg uit) — 1 vermelding
term WCAG 2.1
5.13 De mobiliteitsoplossing moet voldoen aan de overheidsstandaard toegangkelijkheid WCAG 2.1 level AA.
NEN-ISO/IEC 27001 (Pas toe of leg uit) — 8 vermeldingen
term ISO 27001
Een beschrijving van maximaal vier
pagina’s A4 van een ander (eigen) informatiebeveiliging
managementsysteem dat gelijkwaardig is aan de NEN-EN-ISO 27001 norm
en dat minimaal de volgende genoemde aspecten bevat.
term ISO 27001
Kan Opdrachtgever ermee akkoord gaan zich te verplichten altijd rekening
te houden met de relevante certificeringen van de verwerker bij het nemen van een beslissing over een toetsing of audit, en het
volgende aan artikel 4.2 toe te voegen:
"Om te voorkomen dat aspecten worden onderzocht die reeds door de ISO 27001-auditor zijn beoordeeld, dient vóór de uitvoering van
een audit te allen tijde eerst kennis te worden genomen van de bij Opdrachtnemer aanwezige certificeringsdocumentatie.
term ISO 27001
49 Conceptovereenkomst + GIBIT
2023 12.1 & 12.2 + 29
Kan Opdrachtgever ermee instemmen, aangezien Opdrachtnemer ISO 27001-gecertificeerd is, om artikelen 12.1 + 12.2 van de
Conceptovereenkomst en artikel 29 GIBIT buiten toepassing te verklaren?
Bestuurslaag: Regionaal samenwerkingsorgaan (via naam aanbestedende dienst)
DKIM (Pas toe of leg uit) — 3 vermeldingen
term DKIM
Om de implementatie van beveiligingstandaarden op de lijst open
standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de
IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals,
TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).
term DKIM
Voor zover er binnen de ICT-oplossing sprake is van e-mail functionaliteit (het versturen dan wel
ontvangen van e-mails), voldoet de ICT-oplossing aan de volgende standaarden: DKIM, DMARC en
SPF.
term DKIM
Het verzenden van emailberichten namens het domein/de domeinen van Opdrachtgever vanaf de
servers van Inschrijver en/of de aangeboden ICT-oplossing wordt enkel toegestaan als wordt voldaan
aan de volgende mailstandaarden: DKIM, DMARC, SPF, DANE, DNSSEC en encrypted mail.
DMARC (Pas toe of leg uit) — 3 vermeldingen
term DMARC
Om de implementatie van beveiligingstandaarden op de lijst open
standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de
IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals,
TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).
term DMARC
Voor zover er binnen de ICT-oplossing sprake is van e-mail functionaliteit (het versturen dan wel
ontvangen van e-mails), voldoet de ICT-oplossing aan de volgende standaarden: DKIM, DMARC en
SPF.
term DMARC
Het verzenden van emailberichten namens het domein/de domeinen van Opdrachtgever vanaf de
servers van Inschrijver en/of de aangeboden ICT-oplossing wordt enkel toegestaan als wordt voldaan
aan de volgende mailstandaarden: DKIM, DMARC, SPF, DANE, DNSSEC en encrypted mail.
DNSSEC (Pas toe of leg uit) — 3 vermeldingen
term DNSSEC
Om de implementatie van beveiligingstandaarden op de lijst open
standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de
IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals,
TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).
term DNSSEC
Het verzenden van emailberichten namens het domein/de domeinen van Opdrachtgever vanaf de
servers van Inschrijver en/of de aangeboden ICT-oplossing wordt enkel toegestaan als wordt voldaan
aan de volgende mailstandaarden: DKIM, DMARC, SPF, DANE, DNSSEC en encrypted mail.
term DNSSEC
Met betrekking tot alle web-omgevingen (inclusief de mogelijk te leveren self-service-webportalen),
de verbinding daar naartoe en de adressering hierbij, voldoet de ICT-oplossing aan de volgende
standaarden: DNSSEC en HTTPS en HSTS en IPv4 en IPv6 en TLS 1.2 of hoger, bij voorkeur inclusief
het gebruik van security-headers.
Digikoppeling (Pas toe of leg uit) — 2 vermeldingen
term Digikoppeling
Het domein ‘infrastructuur’ omvat onder andere
de bouwstenen ‘Diginetwerk’, ‘Digikoppeling’ en
‘PKIoverheid’.
term Digikoppeling
Het betreft normen en standaarden
die de volgende ICT-kwaliteitsgebieden afdekken (tussen haakjes staan ter verduidelijking
voorbeelden van betreffende normen en standaarden, waarbij opvolgende versies ook onder de
normen vallen):
• Architectuur (GEMMA);
• Interoperabiliteit (NEN3610, Stuf, SUWIML, Digikoppeling, iWMO);
• Beveiliging (Baseline Informatiebeveiliging Gemeenten);
• Dataportabiliteit;
• Metadatering (TMLO);
• Toegankelijkheid (Webrichtlijnen);
• Archivering (NEN-ISO 15489-1 NL, NEN-ISO 16175-1);
• Infrastructuur (Generieke Digitale Infrastructuur, aansluiten op Stelsel van Basisregistraties);
• Documentatie;
• E-facturering.
Veel normen en standaarden schrijven voor dat bepaalde preventieve testen worden uitgevoerd
zodat aangetoond wordt dat aan de betreffende norm wordt voldaan.
Digitoegankelijk (EN 301 549 met WCAG 2.1) (Pas toe of leg uit) — 3 vermeldingen
term Digitoegankelijk
Onder websites
vallen ook intra- en extranetten en cloudapplicaties volgens de Europese definitie
(zie digitoegankelijk.nl/aan-de-slag/tips/intranetten).
term Digitoegankelijk
6.3 Normen en standaarden
Nr. Standaard/norm Bronnen/referenties
E1 Europese standaard EN 301 549
met WCAG 2.1
digitoegankelijk.nl
en
forumstandaardisatie.nl/standaard/
digitoegankelijk-en-301-549-met-wcag-21
6.4 Tips en toelichting
1.
term Digitoegankelijk
Op digitoegankelijk.nl/wetgeving/wat-verplicht is beschreven welke
verplichtingen gelden, o.a. voor het publiceren van een
toegankelijkheidsverklaring.
3.
HTTPS en HSTS (Pas toe of leg uit) — 1 vermelding
term HTTPS
Met betrekking tot alle web-omgevingen (inclusief de mogelijk te leveren self-service-webportalen),
de verbinding daar naartoe en de adressering hierbij, voldoet de ICT-oplossing aan de volgende
standaarden: DNSSEC en HTTPS en HSTS en IPv4 en IPv6 en TLS 1.2 of hoger, bij voorkeur inclusief
het gebruik van security-headers.
IPv6 (Pas toe of leg uit) — 4 vermeldingen
term IPv6
Om te voorkomen dat websites en apparaten onbereikbaar worden is Internet
Protocol versie 6 (IPv6) ontwikkeld.
term IPv6
Alle overheidsorganisaties moeten ook via IPv6 bereikbaar zijn.
NEN-ISO/IEC 27001 (Pas toe of leg uit) — 6 vermeldingen
term ISO 27001
2
Eén/meer kopieën van een ISO 27001-certificaat of vergelijkbaar (zie Aanbestedingsleidraad, § 5.4.2.)
term ISO 27001
5.4.2.2 Verplichte certificeringen of gelijkwaardig
Inschrijver dient in het bezit te zijn van de onderstaande certificeringen (of gelijkwaardig):
• Inschrijver dient zelfstandig in het bezit te zijn van een geldig en door een onafhankelijk
geaccrediteerde deskundige te zijn afgegeven ISO 27001:2022 certificaat, waarbij organisatie en
dienstverlening geheel in scope zijn, en een verklaring van toepasselijkheid hiervan met betrekking tot
de aangeboden ICT-oplossing of aantoonbaar gelijkwaardig.
term ISO 27001
• Indien Inschrijver gebruik maakt van derden die de rekencentraservices van Inschrijver verzorgen met
betrekking tot de ICT-oplossing, dienen deze derden (ongeacht of er wel of niet beroep wordt gedaan
op de draagkracht van deze derden en zonder dat deze derden hiervoor een beroep op draagkracht
doen van andere derden) in het bezit te zijn van een geldig en door een onafhankelijk geaccrediteerde
deskundige te zijn afgegeven ISO 27001:2022 certificaat of aantoonbaar gelijkwaardig.
+3 meer vermeldingen — zie de publicatie.
NLCIUS (Pas toe of leg uit) — 2 vermeldingen
term NLCIUS
NLCIUS is een aanvullende nationale specificatie op
EN16931 voor toepassing in Nederland.
term NLCIUS
10.3 Normen en standaarden
Nr. Standaard/norm Bronnen/referenties
I1 EN16931 en NLCIUS forumstandaardisatie.nl/openstandaarden/nlcius
10.4 Tips en toelichting
1.
STARTTLS en DANE (Pas toe of leg uit) — 3 vermeldingen
term STARTTLS
Om de implementatie van beveiligingstandaarden op de lijst open
standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de
IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals,
TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).
term DANE
Het verzenden van emailberichten namens het domein/de domeinen van Opdrachtgever vanaf de
servers van Inschrijver en/of de aangeboden ICT-oplossing wordt enkel toegestaan als wordt voldaan
aan de volgende mailstandaarden: DKIM, DMARC, SPF, DANE, DNSSEC en encrypted mail.
term STARTTLS
Voor zover er binnen de ICT-oplossing sprake is van een verbinding tussen twee of meerdere e-mail
servers, voldoet de ICT-oplossing eveneens aan de navolgende standaarden: STARTTLS en DANE.
StUF (Pas toe of leg uit) — 3 vermeldingen
term StUF
Ten opzichte van de StUF-standaarden sluiten
deze API-standaarden beter aan bij door softwareontwikkelaars gebruikte
industriestandaarden.
term StUF
Inschrijver levert de volgende integraties op voor de Opdrachtgever Gemeente Oldambt:
Via ESB:
• BRP (Basisregistratie Personen)
• Zaaksysteem (ZGW-API en StUF-ZDS)
• Financiele applicatie (Betalen- en Invorderingservices (StUF-FIN)
Rechtstreeks gekoppeld op ICT oplossing:
● Basisgegevens:
o LV-BAG (conform hiervoor beschikbaar gestelde API’s)
o Nationaal Handels Register (conform hiervoor beschikbaar gestelde API’s)
● DSO en publicaties:
o DROP
o DSO-LV (via STAM)
o DSO-LV (via samenwerken)
● Autorisatie en toegang:
o Active Directory (op basis van Microsoft Entra ID)
● Geo en kaart:
o PDOK (BAG, BRT, BRK, BGT en BRO)
o ArcGIS
● Landelijke registers en toezicht:
o Register Milieubelastende Activiteiten (rMba)
o NAZCA
125.
term StUF
Inschrijver levert de volgende integraties op voor Opdrachtgever Gemeente Veendam:
Via ESB:
• BRP (Basisregistratie Personen)
• Zaaksysteem (ZGW-API en StUF-ZDS)
• Financiele applicatie (Betalen- en Invorderingservices (StUF-FIN)
Rechtstreeks gekoppeld op ICT oplossing:
● Basisgegevens:
o LV-BAG (conform hiervoor beschikbaar gestelde API’s)
o Nationaal Handels Register (conform hiervoor beschikbaar gestelde API’s)
● DSO en publicaties:
o DROP
o DSO-LV (via STAM)
o DSO-LV (via samenwerken)
● Autorisatie en toegang:
o Active Directory (op basis van Microsoft Entra ID)
● Geo en kaart:
o PDOK (BAG, BRT, BRK, BGT en BRO)
● Landelijke registers en toezicht:
o Register Milieubelastende Activiteiten (rMba)
o NAZCA
Aanbesteding VTH-applicatie
Bijlage 04 Programma van Eisen 22 van 31
126.
TLS (Pas toe of leg uit) — 1 vermelding
term TLS 1.2
Met betrekking tot alle web-omgevingen (inclusief de mogelijk te leveren self-service-webportalen),
de verbinding daar naartoe en de adressering hierbij, voldoet de ICT-oplossing aan de volgende
standaarden: DNSSEC en HTTPS en HSTS en IPv4 en IPv6 en TLS 1.2 of hoger, bij voorkeur inclusief
het gebruik van security-headers.
security.txt (Pas toe of leg uit) — 1 vermelding
term security.txt
De ICT-oplossing voldoet aan de verplichting dat er een security.txt-bestand in de self-servicewebonderdelen voor inwoners, organisaties en instellingen van de ICT-oplossing opgenomen kan
worden.
Organisatie die nadere inlichtingen over de aanbestedingsprocedure verstrekt
Organisatie die verzoeken tot deelname ontvangt
Organisatie voor beroepsprocedures
Organisatie die meer informatie geeft over beroepsprocedures
Integratieplatform — 9 standaarden
ACMEAuthenticatie-standaarden (OpenID.NLGov en SAML)DigikoppelingDigitoegankelijk (EN 301 549 met WCAG 2.1)HTTPS en HSTSIPv6NEN-ISO/IEC 27001REST-API Design RulesTLS
Bestuurslaag: Provincie (via naam aanbestedende dienst)
ACME (Pas toe of leg uit) — 1 vermelding
term ACME-protocol
Must 2
162 Architectuur Het platform dient ondersteuning te bieden voor het ACME-protocol (RFC 8555), zodat certificaten voor beveiligde communicatie
geautomatiseerd kunnen worden beheerd en vernieuwd zonder handmatige interventie.
Authenticatie-standaarden (OpenID.NLGov en SAML) (Pas toe of leg uit) — 2 vermeldingen
term SAML
Gegadigde verzoekt de Provincie Noord-Brabant daarom te motiveren:
a) waarom aantoonbare ervaring met de integratie van DigiD, eHerkenning en/of eIDAS
noodzakelijk is voor een goede uitvoering van de opdracht;
b) op welke wijze deze specifieke ervaring verband houdt met de in de
aanbestedingsstukken beschreven scope;
c) waarom ervaring met de implementatie en integratie van generieke identity- en
accessmanagementoplossingen, waaronder Microsoft Entra ID en
authenticatiestandaarden zoals OAuth 2.0/OIDC en SAML, onvoldoende wordt geacht.
term SAML
Indien een dergelijk specifiek verband met de opdracht ontbreekt, verzoekt gegadigde de eis
te wijzigen in: “De gegadigde beschikt over aantoonbare ervaring met de integratie van
identiteits- en authenticatievoorzieningen en identity- en accessmanagementoplossingen,
gebaseerd op gangbare standaarden en protocollen, zoals OAuth 2.0/OIDC, SAML,
Microsoft Entra ID, DigiD, eHerkenning en/of eIDAS."
Digikoppeling (Pas toe of leg uit) — 11 vermeldingen
term Digikoppeling
Eis 165:
Digikoppeling,
Haal Centraal
en ZGW.
term Digikoppeling
Welke Digikoppeling-profielen moet de oplossing ondersteunen (REST-API, ebMS2 en/of
WUS)?
term Digikoppeling
Must 1
165 Architectuur De oplossing voorziet in een Digikoppeling adapter en een Haal Centraal koppeling. Must 1
166 Architectuur De oplossing voorziet in een ZGW-API koppeling. Should 2
Bijlage G Programma van eisen Integratieplatform 5 van 5
Onderwerp: Uitstel publicatie Nota van Inlichtingen en rectificatie
Geachte geïnteresseerden,
De publicatie van de Nota van Inlichtingen, die voor vandaag gepland stond, wordt
uitgesteld naar morgen, 13 oktober 2026.
+8 meer vermeldingen — zie de publicatie.
Digitoegankelijk (EN 301 549 met WCAG 2.1) (Pas toe of leg uit) — 4 vermeldingen
term WCAG 2.1
Eis 128:
toegankelijkhei
d.
Geldt WCAG 2.1 AA voor de gehele ontwikkel- en beheeromgeving van het platform, of
alleen voor componenten die worden gebruikt door eindgebruikers en functioneel
beheerders (zoals dashboards en de developer portal)?
term WCAG 2.1
De eis (WCAG 2.1 AA) geldt voor de componenten die worden gebruikt door
eindgebruikers en functioneel beheerders.
term EN 301 549
Could 2
128 Functioneel Het platform moet toegankelijk zijn conform EN 301 549 | WCAG 2.1 AA Must 1
129 Leverancier De geboden oplossing heeft alle licenties voor de oplossing zelf.
+1 meer vermeldingen — zie de publicatie.
HTTPS en HSTS (Pas toe of leg uit) — 1 vermelding
term HTTPS
Must 2
107 Architectuur Alle communicatie van en naar het vertrouwde provinciale netwerk of door de provincie aangewezen cloudomgeving vindt plaats
over beveiligde verbindingen, zoals HTTPS en sFTP met onderliggend certificaat.
IPv6 (Pas toe of leg uit) — 1 vermelding
term IPv6
Must 1
93 Architectuur De leverancier zorgt dat IPv6 wordt ondersteund daar waar componenten extern ontsloten worden.
NEN-ISO/IEC 27001 (Pas toe of leg uit) — 26 vermeldingen
term ISO 27001
Kan de provincie bevestigen dat voor het SaaS-gedeelte van de hybride oplossing het
overleggen van actuele, internationaal erkende Third-Party Assurance (TPA) rapportages
zoals SOC 2 Type II en ISO 27001 volstaat en de eis voor klantspecifieke audits hierop
vervalt?"
term ISO 27001
Voor het SaaS-gedeelte kan een geldige ISO 27001-certificering als aanvullende
assurance worden gebruikt.
term ISO 27001
De
inschrijver dient derhalve zowel een geldig ISO 27001-certificaat als de gevraagde
BIO-zelfverklaring aan te leveren.
+23 meer vermeldingen — zie de publicatie.
REST-API Design Rules (Pas toe of leg uit) — 2 vermeldingen
term NLGov REST API Design Rules
Must 2
18 Architectuur Het platform moet gegevensuitwisseling tussen (web)applicaties ondersteunen via gedocumenteerde API's op basis van REST,
conform de NLGov REST API Design Rules, SOAP, met formele specificaties zoals OpenAPI en XML Schema Definition (XSD).
term NLGov REST API Design Rules
Dit sluit bovendien direct aan bij verplichte
(overheids)standaarden, zoals de NLGov REST API Design Rules, die eveneens Engelse
terminologie hanteren.
TLS (Pas toe of leg uit) — 1 vermelding
term TLS 1.2
Alle communicatie is versleuteld met TLS 1.3, met fall back naar TLS 1.2, of hoger en zwakke protocollen zijn
uitgeschakeld, conform forum voor standaardisatie.
Bestuurslaag: Zelfstandig bestuursorgaan (via naam aanbestedende dienst)
Digitoegankelijk (EN 301 549 met WCAG 2.1) (Pas toe of leg uit) — 1 vermelding
term Digitoegankelijk
6.6 De ICT Prestatie van de Opdrachtnemer voldoet aan de richtlijn van www.digitoegankelijk.nl, of er
wordt aantoonbaar gewerkt aan het behalen van deze richtlijn (voor zover deze van toepassing
zijn op de Opdrachtnemer).
NEN-ISO/IEC 27001 (Pas toe of leg uit) — 5 vermeldingen
term ISO 27001
QuestionnaireT225104 Exported on 13Oct 2026 (Tue), 14:30 3/7
Van een vergelijkbare organisatie is sprake indien de organisatie voldoet aan de volgende kenmerken:
● de organisatie verwerkt persoonsgegevens op substantiële schaal en is gehouden aan de Algemene Verordening
Gegevensbescherming (AVG) of een gelijkwaardig wettelijk kader;
● de organisatie is onderworpen aan aantoonbare wettelijke of toezichthoudende complianceverplichtingen;
● de organisatie stelt eisen aan de opslag, verwerking en toegang tot gegevens binnen de Europese Economische Ruimte (EER) of
een gelijkwaardig gegevenssoevereiniteitsregime;
● de organisatie beschikt over een formeel informatiebeveiligingsbeleid gebaseerd op gangbare normen of frameworks, zoals BIO2,
ISO 27001, NEN 7510 of gelijkwaardig.
term ISO 27001
Geschiktheidseis: Maatregelen inzake informatiebeveiliging
Inschrijver dient te beschikken over een hoogwaardig systeem voor informatie en databeveiliging. Hiertoe dient Inschrijver te beschikken
over een geldig ISO 27001-certificaat of gelijkwaardig certificaat waaruit blijkt dat haar organisatie en haar storage(locaties) voldoen aan
de daarin gestelde hoogwaardige beveiligingseisen.
term ISO/IEC 27001
Een kwaliteitscertificaat, opgesteld door een onafhankelijke instantie, ISO/IEC 27001 of gelijkwaardig, geldig op de sluitingsdatum
van de inschrijvingstermijn van deze aanbesteding (u volstaat met het toevoegen van een kopie van het certificaat).