TenderNed Standaardenmonitor

1.10 Opdrachtnemer beschikt over een website waarop ten minste de volgende informatie is weergegeven:  Contactgegevens, bezoekadres(sen) en telefoonnummer (niet zijnde een 0900 nummer)  Openingstijden  Dienstverleningsaanbod, rechten en plichten, etc.  Informatie over het indienen van klachten en de klachtenregeling  Privacy statement/verklaring.  Kwaliteitskeurmerk (ISO / HKZ of gelijkwaardig)  Bij welke beroepsgroep(en) is aangesloten De website dient voor de doelgroep gebruiksvriendelijk te zijn en te voordoen aan WCAG 2.1 (internationale standaard voor toegankelijkheid) en/of niveau A en AA (onderdeel van de Europese richtlijn EN 301 549) 1.11 Bij het einde van de Raamovereenkomst werkt Opdrachtnemer actief mee aan de overgang naar de nieuwe Raamovereenkomst (al dan niet met een andere Opdrachtnemer).

• De Content en het portaal voldoen aan de huidige Web Content Accessibility Guidelines (WCAG) 2.1 en eventuele opvolgende standaarden gedurende de looptijd van de Overeenkomst (zie ook https://www.digitoegankelijk.nl/uitleg-van-eisen).

De content en het portaal voldoen aan de huidige Web Content Accessibility Guidelines (WCAG) 2.1 voor zover verplicht, en eventuele opvolgende verplichte standaarden gedurende de looptijd van de Raamovereenkomst (zie ook Digitale toegankelijkheid voor leveranciers | Digitoegankelijk).

Is de aanbestedende dienst bereid deze eis alsnog op te nemen, bijvoorbeeld door ISO 27001 of aantoonbaar gelijkwaardig als geschiktheids- of uitvoeringseis voor te schrijven?

Opdrachtnemer en diens Hulpleverancier in het bezit te zijn* van: *aankruisen wat van toepassing is □ een geschreven beveiligingsbeleid conform ISO 27001 inzake Information Security Management binnen 2 jaar na ondertekening van deze overeenkomst. 2.

Certificaat Opdrachtnemer beschikt over een ISO 27001 certificaat of is bereid dit certificaat te behalen binnen twee (2) jaar na ondertekendatum van de Raamovereenkomst. Indien na twee (2) jaar geen certificering behaald is kan dit leiden tot vroegtijdige ontbinding van de Raamovereenkomst tussen opdrachtnemer de deelnemer Politie.

Dit kader is gebaseerd op de internationaal erkende en actuele ISO-normatiek NEN-ISO/IEC 27002:2017.

Digitale toegankelijkheid Voor oplevering van digitale documenten geldt: Opdrachtnemer levert de resultaten in een digitaal toegankelijk format op, conform de wettelijk verplichte digitale toegankelijkheidsstandaard WCAG 2.1, niveaus A en AA.

4 API Koppeling Evenementen / Container aanvraag – route systeem Het aanvragen van een evenement kan via Vergunning A-evenement aanvragen | www.rotterdam.nl de te leveren of op te halen containers worden d.m.v. een schoonplan aangevraagd 5 API Koppeling Meld-R – route systeem (Integratie met aanvraag procedureaanvraag mutatie container en klachten formulier) – https://www.rotterdam.nl/melding-vraag-of-klacht 6 SAML of OIDC koppeling IAM (gemeente) - Routesysteem Authenticatie en autorisatie koppeling t.b.v. SSO 7 API-Koppeling Back-end Route systeem – front end route systeem Koppeling voor het toewijzen van routes of te rijden gebieden aan het mobiele (IOS) device van een chauffeur/Voertuig.

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Het domein ‘infrastructuur’ omvat onder andere de bouwstenen ‘Diginetwerk’, ‘Digikoppeling’ en ‘PKIoverheid’.

Onder websites vallen ook intra- en extranetten en cloudapplicaties volgens de Europese definitie (zie digitoegankelijk.nl/aan-de-slag/tips/intranetten).

6.3 Normen en standaarden Nr. Standaard/norm Bronnen/referenties E1 Europese standaard EN 301 549 met WCAG 2.1 digitoegankelijk.nl en forumstandaardisatie.nl/standaard/ digitoegankelijk-en-301-549-met-wcag-21 6.4 Tips en toelichting 1.

Op digitoegankelijk.nl/wetgeving/wat-verplicht is beschreven welke verplichtingen gelden, o.a. voor het publiceren van een toegankelijkheidsverklaring. 3.

Om te voorkomen dat websites en apparaten onbereikbaar worden is Internet Protocol versie 6 (IPv6) ontwikkeld.

Alle overheidsorganisaties moeten ook via IPv6 bereikbaar zijn.

Zie: digitaleoverheid.nl/mido/ generieke-digitale-infrastructuur-gdi/ domein-infrastructuur/ G2 Ondersteunen IPv6 Richtlijnen voor IPv6: forumstandaardisatie.nl/open-standaarden/ ipv6-en-ipv4.

KWALITEITSNORMEN Voeg hier uw Beveiligingsborgingssysteem, conform de norm NEN-EN-ISO 27001, of een aantoonbaar gelijkwaardig beveiligingsborgingssysteem toe.

Als Inschrijver beschikt u over een beveiligingsborgingssysteem, conform de norm NEN-EN-ISO 27001, of een aantoonbaar gelijkwaardig beveiligingsborgingssysteem.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS).

10.3 Normen en standaarden Nr. Standaard/norm Bronnen/referenties I1 EN16931 en NLCIUS forumstandaardisatie.nl/openstandaarden/nlcius 10.4 Tips en toelichting 1.

NLCIUS is een aanvullende nationale specificatie op EN16931 voor toepassing in Nederland.

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Ten opzichte van de StUF-standaarden sluiten deze API-standaarden beter aan bij door softwareontwikkelaars gebruikte industriestandaarden.

SSO met Entra ID (SAML en/of OIDC) De applicatie ondersteunt Single Sign On met Microsoft Entra ID via bij voorkeur OIDC.

EN 301 549 en open standaarden De oplossing ondersteunt naleving van EN 301 549 (toegankelijkheid) en voldoet aan verplichte open standaarden voor “Internet en Beveiliging” zoals vastgesteld door Forum Standaardisatie.

• ISO 27001 Internationale norm voor informatiebeveiliging. Pagina 6 van 6 • Tenant-isolatie Scheiding van data tussen verschillende organisaties in één systeem.

Voldoen aan de norm ISO 27001, of vergelijkbare maatregelen, geven aan dat er voldoende aan wordt gedaan om dit te voorkomen.

Informatiebeveiliging: Inschrijver beschikt over een managementsysteem voor informatiebeveiliging. Bewijsstuk: ISO 27001 of gelijkwaardig.

Versleuteling verbindingen en data Alle dataverbindingen zijn beveiligd met TLS 1.2 of hoger.

De belangrijkste (bronnen van en hun opvolgers) standaarden (niet limitatief) worden hieronder opgesomd: a. NORA (www.noraonline.nl en www.digitaleoverheid.nl/onderwerpen/nora); b. RijksOverheid Referentie Architectuur (RORA), de opvolger van de Enterprise Architectuur Rijksdienst (EAR) (www.roraonline.nl); c. In voorkomende gevallen conformeert Deelnemer zich aan de Open Standaarden zoals vermeld op de website van Forum Standaardisatie (https://www.forumstandaardisatie.nl/ Deelnemer kan in de specificatie van de Nadere overeenkomst expliciet verwijzen naar de relevante Open Standaarden die op de ‘pas toe of leg uit’-lijst van Forum Standaardisatie staan en hier nadere eisen aan stellen; d. De digitoegankelijkheidseisen voor applicaties van de Rijksoverheid (https://www.digitoegankelijk.nl/ en https://www.forum standaardisatie.nl/openstandaarden/digitoegankelijk-en-301-549-met-wcag-21) Programma van Eisen RVICTO-MDA 2026-II versie D4.0 Pagina 5 van 52 e. Informatiebeveiliging: het Besluit voorschrift informatiebeveiliging rijksdienst (VIR) 2007, het Besluit voorschrift informatiebeveiliging rijksoverheid – bijzondere informatie (VIRBI) 2025, de Baseline Informatiebeveiliging Overheid (BIO2) A.4.2 Aanvullend gelden de volgende bronnen: f. De NPR 5333 als richtlijn voor het output-gebaseerd contracteren en meten van prestaties in agile opdrachten voor softwareontwikkeling en -onderhoud NPR 5333:2025 nl g. De ICT-beveiligingsrichtlijnen voor webapplicaties, uitgegeven door het NCSC (https://www.ncsc.nl/documenten/publicaties/2019/mei/01/ict-beveiligingsrichtlijnenvoor-webapplicaties) h. Basisregistraties en stelselafspraken, oftewel het gebruik van authentieke gegevensbronnen: https://www.digitaleoverheid.nl/overzicht-van-alleonderwerpen/basisregistraties-en-stelselafspraken/stelsel-vanbasisregistraties/stelselplaat/ i. EN/NPR 5326 voor risicobeheersing bij ontwikkeling en onderhoud van maatwerksoftware: https://www.nen.nl/NEN-Shop/Norm/NPR-53262019-nl.htm.

• Digitale Toegankelijkheid: Fungeren als kenniscentrum voor digitale toegankelijkheid (digitoegankelijk.nl).

Opdrachtnemer heeft hiervoor een effectief werkend information security management systeem (ISMS) volgens NEN-EN-ISO/IEC ISO 27001 of gelijkwaardig.

Informatiebeveiligingsbeheersysteem6 Door het ondertekenen van het ‘Uniform Europees Aanbestedingsdocument’ verklaart Inschrijver: • dat de onderneming van Inschrijver bij inschrijving en gedurende de uitvoering van de Raamovereenkomst beschikt over een geldige ISO-27001-certificering, dan wel over maatregelen die aantoonbaar gelijkwaardig zijn aan de norm ISO 27001.

Onder gelijkwaardig wordt verstaan dat Inschrijver maatregelen heeft getroffen die, in vergelijking met de norm ISO 27001, op alle onderdelen een objectief vergelijkbaar niveau van duurzame risicobeheersing bieden.

Normenkader Wederpartij richt de Informatiebeveiliging in overeenkomstig de volgende normen en kaders: Baseline Informatiebeveiliging Overheid 2 (BIO2), aangevuld met: [per contract in te vullen, bijvoorbeeld: NEN-EN-ISO/IEC 27001, NEN-EN-ISO/IEC 27002, NEN 7510 of andere sectorspecifieke normen] Toelichting: Legt vast tegen welk normenkader wordt ingericht én getoetst (vgl.

Artikel 12 | Toegankelijkheid 12.1De aangeboden oplossing voldoet aan de toegankelijkheidseisen van WCAG 2.2 niveau AA, zoals opgenomen in EN 301 549.

De voorwaarden van deze overeenkomst blijven van toepassing, met dien verstande dat voor de websites in ieder geval aanvullend gelden: de GIBITvoorwaarden, de meest actuele VNG-standaardverwerkersovereenkomst, hosting binnen Nederland op een ISO 27001-gecertificeerde omgeving, een beschikbaarheid van ten minste 99,8% op jaarbasis, een RTO van maximaal 12 uur en een RPO van maximaal 1 uur, toegankelijkheid conform WCAG 2.2 niveau AA en EN 301 549, en oplevering na een geslaagde functionele en gebruikersacceptatietest. Waar deze aanvullende eisen afwijken van de overeenkomst, prevaleren zij voor de websites.

De voorwaarden van deze overeenkomst blijven van toepassing, met dien verstande dat voor de websites in ieder geval aanvullend gelden: de GIBITvoorwaarden, de meest actuele VNG-standaardverwerkersovereenkomst, hosting binnen Nederland op een ISO 27001-gecertificeerde omgeving, een beschikbaarheid van ten minste 99,8% op jaarbasis, een RTO van maximaal 12 uur en een RPO van maximaal 1 uur, toegankelijkheid conform WCAG 2.2 niveau AA en EN 301 549, en oplevering na een geslaagde functionele en gebruikersacceptatietest. Waar deze aanvullende eisen afwijken van de overeenkomst, prevaleren zij voor de websites.

Technische en beroepsbekwaamheid Certificering Geschiktheidseis 2 De inschrijver moet beschikken over een geldig ISO 9001 certificaat of alternatief bewijsmiddel, mits dat door een erkende en onafhankelijke certificerende instelling is getoetst. Geschiktheidseis 3 De inschrijver moet beschikken over een geldig ISO 27001 certificaat of een aantoonbaar gelijkwaardig, onafhankelijk getoetst assurancerapport, zoals een ISAE 3000- of ISAE 3402 Type II-verklaring, mits dat door een erkende en onafhankelijke instelling is getoetst. Indienen bij inschrijving: Door middel van het invullen en indienen van Deel IV van het UEA verklaart inschrijver dat de inschrijver voldoet aan de gestelde certificering. Indien inschrijver zich beroept op gelijkwaardigheid, dient dit in de inschrijving aangegeven te worden en zal de aanbestedende dienst deze gelijkwaardigheid toetsen.

Alle documenten die door de Opdrachtnemer in het kader van deze opdracht geleverd dienen te worden en als doel hebben om door Opdrachtgever voor publicatie- en/of communicatiedoeleinden gebruikt te worden, dienen te voldoen aan de wetgeving rondom digitale toegankelijkheid en de eisen die aan documenten in dit kader gesteld worden (zie Een toegankelijke digitale overheid | Digitoegankelijk).

Deze website geeft praktische tips en uitleg met betrekking tot de toegankelijkheid van documenten (zie Praktische toegankelijkheidstips | Digitoegankelijk).

F05 Eis Integraties vinden plaats op basis van open en gangbare standaarden en protocollen (zoals SCIM, SAML, OAuth2/OpenID Connect of vergelijkbare standaarden waar passend).

Voor andere koppelingen (zoals API’s en inloggen) worden gangbare standaarden gebruikt (bijv. OAuth2, OpenID Connect of SAML).

G11 Eis Bij gebruik van gemeentelijke domeinen worden DNSSEC en CAA-records toegepast. Versterkt domeinbeveiliging. G12 Eis De web-based user interface is benaderbaar via de binnen de gemeentelijke werkplek ondersteunde browsers (in ieder geval Microsoft Edge), zonder gebruik van aanvullende plugins of extensies.

Het betreft normen en standaarden die de volgende ICT-kwaliteitsgebieden afdekken (tussen haakjes staan ter verduidelijking voorbeelden van betreffende normen en standaarden): • Architectuur (GEMMA); • Interoperabiliteit (NEN3610, STuF, API-standaarden SUWIML, Digikoppeling, iWMO); • Informatiebeveiliging en privacy (Baseline Informatiebeveiliging Overheid, Standaardverwerkersovereenkomst); • Dataportabiliteit; • Metadatering (TMLO/MDTO); • Toegankelijkheid (EN 301 549/WCAG); • Archivering (NEN-ISO 15489-1 NL, KIDO); • Infrastructuur (Generieke Digitale Infrastructuur, aansluiten op Stelsel van Basisregistraties); • Documentatie; • E-facturering. VNG Realisatie 13 Standaarden of versies van standaarden die nog in ontwikkeling zijn, vallen buiten de GIBIT.

Het betreft normen en standaarden die de volgende ICT-kwaliteitsgebieden afdekken (tussen haakjes staan ter verduidelijking voorbeelden van betreffende normen en standaarden): • Architectuur (GEMMA); • Interoperabiliteit (NEN3610, STuF, API-standaarden SUWIML, Digikoppeling, iWMO); • Informatiebeveiliging en privacy (Baseline Informatiebeveiliging Overheid, Standaardverwerkersovereenkomst); • Dataportabiliteit; • Metadatering (TMLO/MDTO); • Toegankelijkheid (EN 301 549/WCAG); • Archivering (NEN-ISO 15489-1 NL, KIDO); • Infrastructuur (Generieke Digitale Infrastructuur, aansluiten op Stelsel van Basisregistraties); • Documentatie; • E-facturering. VNG Realisatie 13 Standaarden of versies van standaarden die nog in ontwikkeling zijn, vallen buiten de GIBIT.

Bewijs dat u beschikt over een ISO 27001 certificaat of gelijkwaardig.

Dient de leverancier aantoonbare BIO2-compliance te kunnen overleggen, bijvoorbeeld via een ISO 27001-certificering met expliciete BIO2-overlay?

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

Niet-functionele eisen – Security en privacy Nr Type Eis Toelichting G01 Eis Alle communicatie tussen gebruikers, de IAM-oplossing en gekoppelde systemen verloopt via versleutelde verbindingen conform actuele ‘Pas toe of leg uit’-standaarden (minimaal TLS 1.2 of hoger).

G09 Eis Koppelingen zoals genoemd in F01 worden gerealiseerd via beveiligde verbindingen (minimaal TLS 1.2).

Identiteit en toegangsmanagement 15.1 Webgebaseerde single sign-on (SSO) is mogelijk en wordt ondersteund via OpenIDConnect (OAuth) / SAML v2-protocol en is gekoppeld aan SURFconext/AzureAD/EntraID.

Bruikbaarheid 10.1 Indien de IT-Oplossing een internet browser vereist, dan dient deze te voldoen aan Web Content Accessibility Guidelines (WCAG) niveau A en AA (als beschreven in EN 301 549).

De resultaten van de requests voldoen aan standaard http codes en/of conform de SOAP-standaard (Web Service/WCF Service over https) of REST XML/JSON (HTTP GET, HTTP POST, HTTP PUT, HTTP DELETE) over HTTPS.

18.5 De IT-Oplossing dient (t.a.v. informatiebeveiliging) aantoonbaar te voldoen aan marktconforme certificering, bijvoorbeeld ISO27001 of gelijkwaardig, of toont dit minimaal elke 2 jaar aan middels het ROSA self assessment dat correspondeert met de BIV classificatie van de IT-Oplossing. 18.6 De beveiligingsmaatregelen bij de Opdrachtnemer zijn aantoonbaar volgens de systematiek ISO 27001 of SOC 2 type II ingevoerd.

Het oordeel van de toetsing wordt vastgelegd in deze bijlage onder a. Het CISO Office beoordeelt de beveiligingsmaatregelen en heeft hiervoor nodig: - BIV-classificatie - ISO 27001 certificering - Verklaring van Toepasselijkheid op de ISO 27001 certificering Of - Een door de leverancier ingevuld SURF normenkader als er geen ISO certificaat is.