TenderNed Standaardenmonitor

SaaS Software as a Service Softwareapplicaties geleverd als online dienst. SAML / SSO Security Assertion Markup Language / Single Sign-On Protocol voor federatieve aanmelding en veilige toegang tot applicaties.

WCAG 2.1 Web Content Accessibility Guidelines Toegankelijkheidsrichtlijn voor digitale toepassingen.

Winterswijk wil dat burgers en ondernemers: • 24/7 veilig en betrouwbaar zaken kunnen doen met de gemeente • Gebruik kunnen maken van toegankelijke portalen die voldoen aan de WCAG 2.1-richtlijnen Offerteaanvraag Europees openbare aanbesteding IaaS‐Migratie Gemeente Winterswijk Pagina 18 van 61 • Profiteren van een uniforme, herkenbare digitale dienstverlening over alle gemeentelijke kanalen heen.

Leverancier zorgt ervoor dat een geldige certificering van zowel de ISO/IEC 27001 (informatiebeveiligingsmanagementsysteem) als wel als de ISO 9001:2015 (kwaliteitsmanagementsysteem) gedurende de looptijd van deze overeenkomst is bijgevoegd als bijlage bij de overeenkomst Opdrachtgever.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

ISO 27001 / 27002 Informatiebeveiligingsnormen Standaarden voor informatiebeveiligingsmanagementsystemen.

Het leeraanbod moet voldoen aan de volgende eisen: - Het leeraanbod is toegankelijk en inclusief ontworpen voor alle deelnemers, ongeacht culturele achtergrond, gender, neurodiversiteit, levensfase of beperking. Dit geldt voor zowel digitale als niet-digitale onderdelen van het programma: - Digitale leermodules, e-learningcontent en online tools voldoen aan de toegankelijkheidsstandaard WCAG 2.1 niveau AA.

8.3 Indien de Verwerker periodiek een verklaring of certificaat (bijv. een ISO 27001-certificaat) van een onafhankelijke deskundige overlegt waaruit blijkt dat de Verwerker voldoet aan de verplichtingen uit de Verwerkersovereenkomst, de AVG en de toepasselijke wetgeving, en er geen aanwijzingen zijn van nietnaleving, is een reguliere audit niet vereist. Deze verklaring of certificaat moet bij het verlopen van de geldigheidsduur worden vernieuwd en opnieuw worden aangeleverd.

Frequentie van de uit te voeren reguliere audit: [SELECTEER ÉÉN OPTIE EN VERWIJDER DE REST. INDIEN ‘NIET VAN TOEPASSING’ WORDT GEKOZEN, SPECIFICEER HET CERTIFICAAT OF DE VERKLARING] o Eens per 2 jaar o Jaarlijks o Niet van toepassing, aangezien de Verwerker periodiek een [naam verklaring of certificaat, bijv. ISO 27001- certificaat] overlegt van een onafhankelijke deskundige waaruit blijkt dat de Verwerker voldoet aan de verplichtingen uit de Verwerkersovereenkomst, de AVG en de toepasselijke wetgeving De door Verwerker ingeschakelde Subverwerkers zijn: Subverwerker (naam en adres) Persoonsgegevens die Subverwerker verwerkt Omschrijving van de reden voor de subverwerking Land van verwerking De doorgiften naar derde landen bij de Verwerking zijn: Doorgifte naar derde landen (naam en adres partij die Persoonsgegevens ontvangt) Doel doorgifte (kostenbesparingen, schaalvoordelen of beveiligingsverbeteringen) Doorgiftemechanisme (bijv. Standard Contractual Clauses) Aanvullende maatregelen naar aanleiding van een doorgifte aan een derde land (indien van toepassing) Contactgegevens: Algemene contactgegevens Naam Functie E-mailadres Telefoonnummer Verwerkingsverantwoordelijke SURF Verwerkersovereenkomst 4.0 – Juni 2025 Page 8 of 12 Verwerker SURF Verwerkersovereenkomst 4.0 – Juni 2025 Page 9 of 12 Bijlage B: Beveiligingsmaatregelen Versienummer XX, datum: [datum] SELECTEER ÉÉN OPTIE EN VERWIJDER DE ANDERE OPTIE 1: Als Verwerker beschikt over certificaten die afdoende zijn Verwerker beschikt over de volgende geldige certificaten of verklaringen van een deskundige derde waaruit blijkt dat Verwerker voldoet aan zijn verplichting de Persoonsgegevens die hij ten behoeve van Verwerkingsverantwoordelijke verwerkt adequaat te beveiligen: Naam of nummer Toepassingsgebied Geldigheidsduur bijv. ISO 27001, NEN 7510, SOC 2 Verwerker draagt ervoor zorg dat hij gedurende deze Verwerkersovereenkomst blijft beschikken over bovenstaande certificaten of een gelijkwaardige opvolger daarvan met een nieuwe geldigheidsduur.

1 Informatiebeveiligings- en privacybeleid Verwerker heeft een informatiebeveiligings- en privacybeleid dat voldoet aan de AVG en eventuele richtsnoeren van de Autoriteit Persoonsgegevens en aansluit op algemene standaarden zoals ISO 27001/2/18, NOREA of CoBIT.

Digitale toegankelijkheid; het klantportaal is toegankelijk voor alle gebruikers en voldoet minimaal aan WCAG 2.1 niveau AA.

Certificeringen De marktpartijen geven aan te beschikken over verschillende certificeringen en standaarden op het gebied van informatiebeveiliging, kwaliteitsmanagement en IT-dienstverlening. Veelgenoemde certificeringen zijn ISO 27001 en ISO 9001.

Sommige partijen geven aan dat aanvullende certificeringen, zoals ISO 27001, momenteel in voorbereiding zijn.

In te dienen bewijsmiddelen bij Verzoek tot deelneming Bewijsmiddel Geldigheidstermijn Uniform Europees Aanbestedingsdocument (UEA)* Meest recent Bijlage 2 - Referentieformulier Geschiktheidseis Niet van toepassing Bijlage 3 - Referentieformulier Selectiecriterium S1 Niet van toepassing ISO 9001:2015 certificaat of gelijkwaardig (ten behoeve van Selectiecriterium S2) Bewijsmiddel moet geldig zijn op moment van Aanmelding Uittreksel KvK 6 maanden, gerekend vanaf uiterste datum indiening Verzoek tot deelneming Op verzoek aan te leveren bewijsmiddelen (binnen 10 kalenderdagen) na verzoek Bewijsmiddel Geldigheidstermijn GVA 2 jaar, gerekend vanaf uiterste datum indiening Inschrijving Verklaring Belastingdienst 6 maanden, gerekend vanaf uiterste datum indiening Inschrijving 25 Selectieleidraad Europees niet-openbare aanbesteding ‘Vernieuwing van het Klantportaal’ Kenmerk: TN 600608 Verklaring Belastingdienst 6 maanden, gerekend vanaf uiterste datum indiening Inschrijving Verzekeringspolis of -certificaat Bewijsmiddel moet geldig zijn op moment van Inschrijving Aanmelding ISO 27001:2022 certificaat, / ISAE3402 of gelijkwaardig Bewijsmiddel moet geldig zijn op moment van Inschrijving Aanmelding * Voor het invullen van het ‘Uniform Europees Aanbestedingsdocument’ dient deze te zijn geopend met Acrobat Reader.

6.2 De geleverde Prestatie van de Opdrachtnemer voldoet aan de richtlijn van www.digitoegankelijk.

Geschiktheidseis: Maatregelen inzake informatiebeveiliging Inschrijver dient te beschikken over een hoogwaardig systeem voor informatie en databeveiliging. Hiertoe dient Inschrijver te beschikken over een geldig ISO 27001-certificaat of gelijkwaardig certificaat waaruit blijkt dat haar organisatie en haar storage(locaties) voldoen aan de daarin gestelde hoogwaardige beveiligingseisen.

Een kwaliteitscertificaat, opgesteld door een onafhankelijke instantie, ISO/IEC 27001 of gelijkwaardig, geldig op de sluitingsdatum van de inschrijvingstermijn van deze aanbesteding (u volstaat met het toevoegen van een kopie van het certificaat).

Inschrijver kan bij voorgenomen gunning een kopie van het ISO 27001:2013-certificaat of vergelijkbaar en anders een Informatiebeveiligingshandboek met de hierboven beschreven aandachtspunten binnen 7 werkdagen na verzending van het verzoek hiertoe overleggen.

D13 Leverancier voldoet bij inzet van AI aan de verplichtingen die voortvloeien uit de Europese AI-verordening (EU 2024/1689), voor zover van toepassing op de aangeboden oplossing. Nr. Categorie: F. Toegankelijkheid F1 De door Leverancier aangeboden oplossing voldoet aan de WCAG 2.1 (Web Content Accessibility Guidelines) richtlijnen.

K4 Communicatie tussen de aangeboden oplossing en externe systemen via koppelingen of API’s is versleuteld (bijvoorbeeld via HTTPS/TLS).

D11 Leverancier beschikt gedurende de gehele looptijd van de overeenkomst over een aantoonbaar geïmplementeerd en onderhouden managementsysteem voor informatiebeveiliging conform ISO 27001 (laatst geldende versie).

Omdat SAML complexer is qua security, hanteren wij strikte eisen om de integriteit van de authenticatie te waarborgen.

De Oplossing ondersteunt authenticatie via de volgende protocollen conform de lijst met open standaarden van het Forum Standaardisatie: • OpenID Connect (OIDC) (voorkeur) óf SAML 2.0 en • OAuth 2.0 voor API-toegang E139.

Statutaire naam Gegadigde Naam ondertekenaar Functie ondertekenaar Handtekening Plaats en datum Statutaire naam onderaannemer Naam ondertekenaar Functie ondertekenaar Handtekening Plaats en datum TGV: Koppeldocument Applicatie Date 05/15/2026 Version v.3 Table of contents 1 OpenID Connect (OIDC) Koppeling...........................................................................................................................3 1.1 Applicatietypes ...............................................................................................................................................................3 1.2 Ondersteunde Grant Types .....................................................................................................................................3 1.3 Tokens & Scopes ............................................................................................................................................................5 1.4 Wat wij van u nodig hebben (OIDC)....................................................................................................................5 1.5 Wat u van ons krijgt (OIDC)......................................................................................................................................5 2 SAML 2.0 Koppeling (Legacy / Enterprise)..........................................................................................................7 2.1 Onze Security Eisen voor SAML2..........................................................................................................................7 2.2 Wat wij van u nodig hebben (SAML2)................................................................................................................7 2.3 Wat u van ons krijgt (SAML2)..................................................................................................................................7 3 Invulformulier voor de Aanvrager..............................................................................................................................8 4 IdP Omgevingen NIPV.......................................................................................................................................................9 TGV: Koppeldocument Applicatie 2 Dit document beschrijft de vereisten en parameters voor het koppelen van externe applicaties met de centrale Identity Provider (IdP) van het Nederlands Instituut Publieke Veiligheid (NIPV).

De Oplossing ondersteunt DNSSEC voor de webservices.

De Oplossing voldoet aan de richtlijnen voor de toegankelijkheid van de digitale dienstverlening conform DigiToegankelijkheid (WCAG 2.1, niveau AA, EN301549).

De in dit document weergegeven verwijzingen naar geo-standaarden, protocollen, technische specificaties en versies (waaronder maar niet beperkt tot standaarden van het Forum Standaardisatie, OGC en aanverwante organisaties) zijn onderhevig aan doorontwikkeling en wijziging. De Inschrijver kan aan eventuele onvolledigheden, verouderde verwijzingen of onnauwkeurigheden in deze specificaties geen rechten ontlenen.

De Geo-viewer biedt functionaliteit om gegevens te exporteren/downloaden naar verschillende formaten, in ieder geval naar geopackage, geojson, shp, xls(x) en csv.

De Oplossing ondersteunt de volgende standaarden / technieken: • de verplichte geo-standaarden op de ‘pas-toe-leg-uit’-lijst van Forum Standaardisatie; • OGC webservices; • netwerkprotocol MQTT; • netwerkprotocol Websocket; • netwerkprotocol Webhooks; • netwerkprotocol REST; • de ‘message broker’ Apache Kafka; • Open Database Connectivity (ODBC).

Redirect URI(s): De exacte URL('s) waar de gebruiker naartoe wordt gestuurd na succesvol inloggen (moet HTTPS zijn).

De hosting partner en organisatie van de Opdrachtnemer zijn ISO/IEC 27001 gecertificeerd en voldoen aan de voorwaarden genoemd in de Algemene Verordening Gegevensbescherming (AVG).

De infrastructuur en organisatie van de Opdrachtnemer (inclusief rekencentra (incl. back-up)) zijn adequaat beveiligd volgens ISO/IEC 27001 en ISO/IEC 27002 of vergelijkbaar.

7.6 Informatiebeveiliging Geschiktheidseis 6: Informatiebeveiliging De Inschrijver dient te beschikken over een informatiebeveiligingsmanagement systeem gelijkwaardig aan ISO/IEC 27001.

De infrastructuur en organisatie van de Opdrachtnemer (inclusief rekencentra (incl. back-up)) zijn adequaat beveiligd volgens ISO/IEC 27001 en ISO/IEC 27002 of vergelijkbaar.

Hierbij dient gebruik te worden gemaakt van het SSL-protocol op basis van TLS 1.2 of beter (voorkeur is TLS 1.3).

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Het domein ‘infrastructuur’ omvat onder andere de bouwstenen ‘Diginetwerk’, ‘Digikoppeling’ en ‘PKIoverheid’.

Onder websites vallen ook intra- en extranetten en cloudapplicaties volgens de Europese definitie (zie digitoegankelijk.nl/aan-de-slag/tips/intranetten).

6.3 Normen en standaarden Nr. Standaard/norm Bronnen/referenties E1 Europese standaard EN 301 549 met WCAG 2.1 digitoegankelijk.nl en forumstandaardisatie.nl/standaard/ digitoegankelijk-en-301-549-met-wcag-21 6.4 Tips en toelichting 1.

Op digitoegankelijk.nl/wetgeving/wat-verplicht is beschreven welke verplichtingen gelden, o.a. voor het publiceren van een toegankelijkheidsverklaring. 3.

Zie: digitaleoverheid.nl/mido/ generieke-digitale-infrastructuur-gdi/ domein-infrastructuur/ G2 Ondersteunen IPv6 Richtlijnen voor IPv6: forumstandaardisatie.nl/open-standaarden/ ipv6-en-ipv4.

Om te voorkomen dat websites en apparaten onbereikbaar worden is Internet Protocol versie 6 (IPv6) ontwikkeld.

Alle overheidsorganisaties moeten ook via IPv6 bereikbaar zijn.

Aanbestedingsdocument): Indien u deze al bij uw inschrijving wil indienen dan is dat toegestaan: + een kopie van het uittreksel uit het beroeps- of handelsregister, die op het tijdstip van indienen van de inschrijving, niet ouder is dan zes maanden; + een gedragsverklaring aanbesteden zoals bedoeld in artikel 4.1 van de Aanbestedingswet 2012, die op het tijdstip van het indienen van de inschrijving, niet ouder is dan twee jaar + een verklaring van de Belastingdienst (verklaring betalingsgedrag nakoming fiscale verplichtingen), die op het tijdstip van het indienen van de inschrijving, niet ouder is dan zes maanden + Technische bekwaamheid, informatiebeveiliging: De inschrijver heeft een vastgelegd en gecertificeerd managementsysteem voor informatiebeveiliging (ISO 27001 of NEN 7510) dat periodiek door een geaccrediteerde instelling wordt getoetst. Document question - KO 1.2.

Informatiebeveiliging De uitgevraagde oplossing voldoet aantoonbaar aan de eisen voor informatiebeveiliging zoals opgenomen in de Baseline Informatiebeveiliging Overheid (BIO) en NEN/ISO 27001.

Certificering voor één of meerdere normen (ISO 27001, 27701 en 27018) dient op verzoek van de aanbestedende dienst aantoonbaar overhandigd te worden.

10.3 Normen en standaarden Nr. Standaard/norm Bronnen/referenties I1 EN16931 en NLCIUS forumstandaardisatie.nl/openstandaarden/nlcius 10.4 Tips en toelichting 1.

NLCIUS is een aanvullende nationale specificatie op EN16931 voor toepassing in Nederland.

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Ten opzichte van de StUF-standaarden sluiten deze API-standaarden beter aan bij door softwareontwikkelaars gebruikte industriestandaarden.

De Contractant garandeert dat alle te leveren Diensten, Goederen, Informatiedragers en Prestaties in de vorm van een website of mobiele webapplicatie of bedoeld zijn als content voor uitingen via websites en mobiele webapplicaties van de Gemeente, voldoen aan de normen en standaarden - EN 301 549/WCAG 2.1 - voor digitale toegankelijkheid.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

Secundaire kleuren - 10% + + Kleur naar keuze - 50% Niveau 1 en 2 3 primaire kleuren + 1 secundaire kleur per middel Niveau 3 3 primaire kleuren + 1 kleur naar keuze x Primaire kleuren - 90% Primaire kleuren - 50% WCAG-regels 16 Overheidsorganisaties zijn verplicht om al hun online uitingen, zoals websites en apps digitoegankelijk te maken.

Verwerker verplicht zich desgevraagd tegenover Zuyd aan te tonen op welke wijze hij passende technische en organisatorische maatregelen heeft genomen om te waarborgen dat de verwerkingen plaatsvinden in overeenstemming met de AVG en het gestelde in deze Verwerkersovereenkomst. Optie 1: Verwerker beschikt over certificering Verwerker beschikt over de volgende geldige certificaten waaruit blijkt dat Verwerker voldoet aan zijn verplichting de Persoonsgegevens die hij ten behoeve van Verwerkingsverantwoordelijke verwerkt adequaat te beveiligen: Naam of nummer Toepassingsgebied Geldigheidsduur bijv. ISO 27001, NEN7510, SOC 2 Optie 2: Verwerker beschikt niet over certificering Verwerker heeft onderstaande tabel volledig en naar waarheid ingevuld: 1.1 Organisatorische beheersmaatregelen Nr. Vraag Antwoord Toelichting verplicht bij geen “ja” ISO 27002:2022 1.1.1 Zijn de taken en verantwoordelijkheden met betrekking tot informatiebeveiliging gedefinieerd, vastgelegd in documentatie en toegewezen overeenkomstig de behoefte van de Zuyd?

Vraag: Is Opdrachtgever bereid de eis zo te herformuleren dat SSO via OpenID Connect met Microsoft Entra ID acceptabel is, gelijkwaardig aan SAML 2.0?

Inschrijff ase Bijlage 1 Programma van Eisen E.26 - SSO via SAML 2.0 "Eis E.26 stelt SSO via SAML 2.0 op Entra ID en oAuth2.0 voor de API.

SAML 2.0 wordt niet native ondersteund door het AFAS Online platform.

Inschrijff ase Bijlage 1 Programma van Eisen E.17 "De WCAG 2.1 is van toepassing voor openbare voorzieningen als overheidswebsites en webapps voor burgers, maar niet voor bedrijfsapplicaties zoals een systeem.

Inschrijff ase Bijlage 1 Programma van Eisen E.17 - WCAG 2.1 AA "Eis E.17 vraagt een door een externe expert opgesteld WCAG-EM toegankelijkheidsrapport voor de gehele applicatie op niveau A en AA.

De selfservice- portalen van Opdrachtnemer en de standaard dossierpagina's zijn vanaf september 2025 ontworpen en getest conform WCAG 2.1 niveau A en AA, met aria-labels die structureel afgedwongen zijn in het ontwikkelproces.

Inschrijff ase Bijlage 7 ARBIT2022_sept2022 art. 5.3 en 5.4 Aangezien niet aan alle klanten afzonderlijk onbeperkte controle/auditrechten kunnen worden toegekend, worden deze bepalingen vervangen door: "5.3 Wederpartij verleent alle benodigde medewerking aan audits, die worden uitgevoerd door een onafhankelijke gecertificeerde auditor na afstemming van een auditplan en de omvang en kosten daarvan, tenzij Wederpartij door middel van een geldige certificering (zoals een ISAE 3402 type 2 rapportage, een ISO 27001 certificering en een ISO 9001 certificering), die periodiek door een geaccrediteerde instelling wordt getoetst, heeft aangetoond dat Wederpartij de gemaakte afspraken nakomt.

Opdrachtnemer beschikt over een ISO 27001- certificering en een NEN 7510-certificering voor AFAS Online, beide afgegeven door EY CertifyPoint, alsmede een ISAE 3402 type II-verklaring. De BIO is grotendeels gebaseerd op de ISO 27001 controls, aangevuld met overheidsspecifieke maatregelen.

Vraag: Kan Opdrachtgever bevestigen dat de combinatie van ISO 27001, NEN 7510 en ISAE 3402 type II-rapportage van Opdrachtnemer, met inzage in de Verklaring Van Toepasselijkheid, voldoende invulling geeft aan deze eis voor zover dit ziet op de SaaS-dienst en de hosting?"