TenderNed Standaardenmonitor

103Alle verbindingen van gebruikers met het telemetriesysteem dienen enkel tot stand te komen via HTTPS.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

InformaƟebeveiligingsmanagementsysteem Inschrijver beschikt over een ISO 27001 gecerƟficeerd informaƟebeveiligingsmanagementsysteem of gelijkwaardig dat tot doel heeŌ de vertrouwelijkheid, integriteit en beschikbaarheid van informaƟe(processen) te borgen en conƟnu te verbeteren.

11 van 20 CerƟficering ISO 27001** Meest recent Format geaccrediteerde instelling **ISO 27001 of gelijkwaardig.

D13 Leverancier voldoet bij inzet van AI aan de verplichtingen die voortvloeien uit de Europese AI-verordening (EU 2024/1689), voor zover van toepassing op de aangeboden oplossing. Nr. Categorie: F. Toegankelijkheid F1 De door Leverancier aangeboden oplossing voldoet aan de WCAG 2.1 (Web Content Accessibility Guidelines) richtlijnen.

K4 Communicatie tussen de aangeboden oplossing en externe systemen via koppelingen of API’s is versleuteld (bijvoorbeeld via HTTPS/TLS).

D11 Leverancier beschikt gedurende de gehele looptijd van de overeenkomst over een aantoonbaar geïmplementeerd en onderhouden managementsysteem voor informatiebeveiliging conform ISO 27001 (laatst geldende versie).

Technisch SE-002 SE = Security Security & Compliance Ondersteuning van SAML voor Single Sign‐On.

Naast de levering omvat de opdracht de inrichting en configuratie per organisatie, de migratie van de bestaande koppelingen en het structurele beheer en onderhoud gedurende de looptijd van de overeenkomst. De opdracht betreft de levering van een ESB-platform en een datadistributiemodule als multi-tenant SaaS/iPaaS-dienst, inclusief aansluiting op landelijke voorzieningen via Diginetwerk en Digikoppeling, conform Bijlage D – Programma van Eisen.

b) Een nieuwe koppeling met een landelijke voorziening via Digikoppeling, profiel ebMS2.

1 Doel en afbakening De PoC bestaat uit vier samenhangende berichtstromen: distributie van NHR-testgegevens, verwerking van een BRP-testmutatie, herstel bij een onbereikbare afnemer en uitwisseling volgens Digikoppeling ebMS2.

Technisch BE-026 BE = Beheer Beheerprocessen & SLA Beheer en configuratie verlopen volledig via een standaard webbrowser over HTTPS.

Technisch FL-001 FL = Flexibiliteit Integratiemogelijkheden & Standaarden Ondersteuning van RESTful API’s (HTTPS, JSON, OpenAPI).

Nee Niet ingevuld (HTTPS/XML) 70 MOOR Platform – Unit4 Financials Gegevensuitwisseling tussen MOOR en Unit4 Financials.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

Na voorgenomen gunning, vóór verificatievergadering Geschiktheidseis Pagina 8 van 13 Certificaat Informatiebeveiligingsm anagementsysteem Een aantoonbaar functionerend informatiebeveiligingsmanagementsysteem , bijvoorbeeld (maar niet uitsluitend) blijkend uit een ISO 27001-certificaat, een gelijkwaardig certificaat, aantoonbare naleving van de Baseline Informatiebeveiliging Overheid (BIO), of een eigen informatiebeveiligingsbeleid met beschrijving van de getroffen maatregelen.

(Zaakgericht Werken) Technisch FL-008 FL = Flexibiliteit Integratiemogelijkheden & Standaarden Voor koppelingen die de StUF-standaard voorschrijven, ondersteunt de oplossing StUF inclusief de relevante sectormodellen.

Voor koppelingen die StUF niet hanteren, geldt deze eis niet.

De voorziening ondersteunt ten minste: het afnemen van mutaties op basis van een abonnement per afnemer, het doorleveren van kennisgevingen volgens de geldende StUF- en ZGW-standaarden, en het synchroon bevragen van actuele gegevens.

Daarnaast zijn de volgende Koppelingen vereist: Koppeling Type Vereist/Optioneel CCTV <-> TRS Gebeurteniskoppeling: cameraactivatie bij toegangsevent Vereist TRS <-> Brand- en inbraakinstallatie Alarmkoppeling (I/O): blokkade lezers bij gewapend alarm Vereist TRS <-> Microsoft EntraID SAML 2.0/LDAP: SSO en tweefactorauthenticatie Vereist CCTV/TRS <-> Gebouwbeheersysteem API/Protocol Optioneel IN-002 Integratievereisten: • Bij een ongeautoriseerde toegangspoging activeert het systeem automatisch de dichtstbijzijnde camera • Bij een brandalarm worden alle nooduitgangen automatisch ontgrendeld (fail-safe) • Bij een inbraakalarm worden alle lezers in het betreffende gebied geblokkeerd • De oplossing ondersteunt standaard Koppelingen met Microsoft Entra ID en AFAS via gedocumenteerde API's of standaardconnectoren.

O2-002 Beeldkwaliteit opname • Resolutie: conform camera-specificaties (min. 1080p binnen, 4MP buiten) • Framerate: minimaal 25 fps per camera • Compressie: H.265 voor optimale balans kwaliteit/opslagruimte • Bitrate: aanpasbaar per camera (constant of variabel) • Dual stream: hoge kwaliteit voor opname, lagere kwaliteit voor live viewing (bandbreedte) • Kwaliteitsniveaus: instelbaar per camera afhankelijk van belangrijkheid • Pre-alarm recording: minimaal 10 seconden vóór alarm • Post-alarm recording: minimaal 30 seconden na alarm 2.4 Video Management Software Nr. Omschrijving V2-001 Algemene VMS-eisen • Nederlandstalige interface (volledig) • Intuïtieve bediening: minimale training nodig voor dagelijks gebruik • Multi-monitor ondersteuning (minimaal 2 schermen) • Webbased toegang voor remote viewing (beveiligd) • Mobiele apps voor iOS en Android • ONVIF compliant voor camera-integratie • API beschikbaar voor Koppelingen met andere systemen • Microsoft EntraID / LDAP integratie met SSO via SAML 2.0 • Schaalbaar: uitbreidbaar met meer camera’s en locaties zonder beperkingen • Tweefactorauthenticatie voor beheerders en remote toegang • Sessies worden automatisch beëindigd na instelbare periode van inactiviteit • Na drie foutieve inlogpogingen wordt account geblokkeerd V2-002 Live viewing functionaliteit • Configureerbare lay-outs: 1x1, 2x2, 3x3, 4x4 en custom • Drag-and-drop camera's naar monitors Aanbesteding van Plan- en regelbeheersoftware Referentie: TN612786 Bijlage 2AD Versie: 1.0 Datum: 17 september 2026 • PTZ-bediening: pan/tilt/zoom met muisbesturing • Digitale zoom in live beeld • Instant playback: direct terug kunnen kijken zonder live te verlaten • Alarm pop-ups bij events • Audio (indien van toepassing) • Snapshot functie • Grafische plattegronden met cameraposities (kaart-view) • Sequence viewing: automatische roulatie door camera's V2-003 Playback en zoekfunctionaliteit • Timeline-based playback: intuïtieve tijdlijn • Multi-camera playback: meerdere camera's synchroon terugkijken • Snelle zoekfunctie op: datum, tijd, camera, alarm, beweging • Smart search: zoeken op beweging binnen bepaald gebied • Thumbnail view: snel overzicht van opgenomen periode • Variable speed playback: 0.25x tot 32x snelheid • Frame-by-frame: nauwkeurige analyse • Digitale zoom in playback zonder kwaliteitsverlies • Bookmarks: markeren belangrijke momenten V2-004 Export en bewijslast • Export naar standaard formaten (AVI, MP4) • Exporteren met native player (opslaan van videobeelden in het oorspronkelijke, onbewerkte formaat) • Watermerk en digitale handtekening tegen manipulatie • Exporteren naar USB, netwerkschijf en e-mail • Meerdere camera's in één export • Metadata: datum, tijd, camera en locatie • Print snapshots met metadata • Exportrechten apart toekennen per gebruiker V2-005 Privacy en beveiliging • Privacy masking: afschermen privacygevoelige gebieden (vaste maskers) • Gebruikersbeheer: granulaire rechten per gebruiker/groep • Audit trail: volledige logging van alle gebruikersacties • Automatische uitlog na inactiviteit • Sterke wachtwoordeisen (complexiteit, rotatie) • Tweefactor authenticatie (optioneel maar aanbevolen) • Versleutelde communicatie (TLS/SSL) • Versleutelde opslag (optioneel) • Toegang beperken tot specifieke camera's per gebruiker Aanbesteding van Plan- en regelbeheersoftware Referentie: TN612786 Bijlage 2AD Versie: 1.0 Datum: 17 september 2026 • Export-rechten apart toekennen (niet iedereen mag exporteren) • Alle Gegevens verwerkt en opgeslagen binnen de EER V2-006 Intelligente analysefuncties • Indien AI- of videoanalysefunctionaliteit gebruikmaakt van cloudverwerking: • vindt verwerking plaats binnen de EER; • worden geen beelden gebruikt voor modeltraining; • blijft Opdrachtgever eigenaar van alle Gegevens.

A-006a Authenticatie en toegangsbeveiliging Het Systeem ondersteunt federatieve authenticatie via gangbare standaarden waaronder minimaal SAML 2.0 en OpenID Connect.

4.3.6 Onderhoudbaarheid Nummer Omschrijving NF-P-171 De Applicatie is (inclusief eventuele losse modules) webbased. Dit betekent dat alle functionaliteit via een webbrowser toegankelijk moet zijn op basis van HTML 5/HTTPS zijn zonder installatie van Applicatie of plug-ins of add-ons op de apparaat van de eindgebruiker.

NEN-EN-ISO 27001 Uitgevende instantie 12.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

Om aan zijn plichten uit artikel 38 van de Inkoopvoorwaarden te voldoen, overlegt Leverancier jaarlijks een ISO-certificering (ISO 27001).

• REST (REpresentational State Transfer) • JSON (JavaScript Object Notation) • W3C webservices (SOAP/XML) • StUF ZGW en BG etc • OGC standaarden En moeten eenduidig en duidelijk zijn gedocumenteerd bij oplevering van de Applicatie.

Opdrachtnemer levert bij oplevering: • volledige API-documentatie; • export van configuraties; • export van gebruikers- en autorisatiestructuren; • export van logginggegevens; Aanbesteding van Plan- en regelbeheersoftware Referentie: TN612786 Bijlage 2AD Versie: 1.0 Datum: 17 september 2026 • export van camerabeelden in gangbare formaten; • migratiedocumentatie ten behoeve van toekomstige vervanging van de oplossing. Voor deze exportmogelijkheden gelden geen aanvullende licenties IN-003 Netwerkinfrastructuur • Dedicated beveiligings-VLAN (logische scheiding van bedrijfsnetwerk) > eigen netwerklijn • Gigabit Ethernet connectiviteit minimum • PoE switches (IEEE 802.3at/bt) voor camera's en controllers (deels aanwezig) • Bekabeling minimaal Cat6 UTP, bij voorkeur Cat6a • Gebruik bestaande kabeltracés waar mogelijk • Redundante netwerkverbindingen voor kritieke componenten • VPN voor remote toegang beheer (verplicht in combinatie met tweefactorauthenticatie) • Firewall segmentatie beveiligingsnetwerk • Network Access Control (NAC) voor netwerkaansluitingen buiten het gebouw, specifiek voor paslezers bij slagboom en fietsenstalling • Paslezers buiten het gebouw: extra fysieke bescherming van de netwerkaansluiting Aanbesteding van Plan- en regelbeheersoftware Referentie: TN612786 Bijlage 2AD Versie: 1.0 Datum: 17 september 2026 IN-004 Cyberbeveiliging (zie A-006b) • Alle communicatie versleuteld via TLS 1.3 • Sterke wachtwoordvereisten: minimaal 12 tekens met complexiteitseisen • Tweefactorauthenticatie verplicht voor remote toegang en beheer • Hardening van alle apparaten: onnodige diensten uitschakelen, standaardwachtwoorden wijzigen, beveiligingsinstellingen op veilige waarden conform CIS Controls en OWASP-richtlijnen • Opdrachtnemer installeert firmware- en software-updates: beveiligingspatches conform onderstaande prioriteitsindeling: • P1 (Kritiek): binnen 48 uur; • P2 (Hoog): binnen 7 alenderdagen; • P3 (Middel): binnen 30 kalenderdagen; • P4 (Laag): binnen 90 kalenderdagen.

C2-004 Naast de TLS 1.3-certificaten voor het Systeem en de Applicatie zullen ook de 802.1xcertificaten van de controllers beheersbaar zijn.

Omdat SAML complexer is qua security, hanteren wij strikte eisen om de integriteit van de authenticatie te waarborgen.

De Oplossing ondersteunt authenticatie via de volgende protocollen conform de lijst met open standaarden van het Forum Standaardisatie: • OpenID Connect (OIDC) (voorkeur) óf SAML 2.0 en • OAuth 2.0 voor API-toegang E139.

Statutaire naam Gegadigde Naam ondertekenaar Functie ondertekenaar Handtekening Plaats en datum Statutaire naam onderaannemer Naam ondertekenaar Functie ondertekenaar Handtekening Plaats en datum TGV: Koppeldocument Applicatie Date 05/15/2026 Version v.3 Table of contents 1 OpenID Connect (OIDC) Koppeling...........................................................................................................................3 1.1 Applicatietypes ...............................................................................................................................................................3 1.2 Ondersteunde Grant Types .....................................................................................................................................3 1.3 Tokens & Scopes ............................................................................................................................................................5 1.4 Wat wij van u nodig hebben (OIDC)....................................................................................................................5 1.5 Wat u van ons krijgt (OIDC)......................................................................................................................................5 2 SAML 2.0 Koppeling (Legacy / Enterprise)..........................................................................................................7 2.1 Onze Security Eisen voor SAML2..........................................................................................................................7 2.2 Wat wij van u nodig hebben (SAML2)................................................................................................................7 2.3 Wat u van ons krijgt (SAML2)..................................................................................................................................7 3 Invulformulier voor de Aanvrager..............................................................................................................................8 4 IdP Omgevingen NIPV.......................................................................................................................................................9 TGV: Koppeldocument Applicatie 2 Dit document beschrijft de vereisten en parameters voor het koppelen van externe applicaties met de centrale Identity Provider (IdP) van het Nederlands Instituut Publieke Veiligheid (NIPV).

De Oplossing ondersteunt DNSSEC voor de webservices.

De Oplossing voldoet aan de richtlijnen voor de toegankelijkheid van de digitale dienstverlening conform DigiToegankelijkheid (WCAG 2.1, niveau AA, EN301549).

De in dit document weergegeven verwijzingen naar geo-standaarden, protocollen, technische specificaties en versies (waaronder maar niet beperkt tot standaarden van het Forum Standaardisatie, OGC en aanverwante organisaties) zijn onderhevig aan doorontwikkeling en wijziging. De Inschrijver kan aan eventuele onvolledigheden, verouderde verwijzingen of onnauwkeurigheden in deze specificaties geen rechten ontlenen.

De Geo-viewer biedt functionaliteit om gegevens te exporteren/downloaden naar verschillende formaten, in ieder geval naar geopackage, geojson, shp, xls(x) en csv.

De Oplossing ondersteunt de volgende standaarden / technieken: • de verplichte geo-standaarden op de ‘pas-toe-leg-uit’-lijst van Forum Standaardisatie; • OGC webservices; • netwerkprotocol MQTT; • netwerkprotocol Websocket; • netwerkprotocol Webhooks; • netwerkprotocol REST; • de ‘message broker’ Apache Kafka; • Open Database Connectivity (ODBC).

Redirect URI(s): De exacte URL('s) waar de gebruiker naartoe wordt gestuurd na succesvol inloggen (moet HTTPS zijn).

De hosting partner en organisatie van de Opdrachtnemer zijn ISO/IEC 27001 gecertificeerd en voldoen aan de voorwaarden genoemd in de Algemene Verordening Gegevensbescherming (AVG).

De infrastructuur en organisatie van de Opdrachtnemer (inclusief rekencentra (incl. back-up)) zijn adequaat beveiligd volgens ISO/IEC 27001 en ISO/IEC 27002 of vergelijkbaar.

7.6 Informatiebeveiliging Geschiktheidseis 6: Informatiebeveiliging De Inschrijver dient te beschikken over een informatiebeveiligingsmanagement systeem gelijkwaardig aan ISO/IEC 27001.

De infrastructuur en organisatie van de Opdrachtnemer (inclusief rekencentra (incl. back-up)) zijn adequaat beveiligd volgens ISO/IEC 27001 en ISO/IEC 27002 of vergelijkbaar.

Hierbij dient gebruik te worden gemaakt van het SSL-protocol op basis van TLS 1.2 of beter (voorkeur is TLS 1.3).

Transport en beveiliging • De JSON‐koppeling moet gebruikmaken van beveiligde transportprotocollen zoals HTTPS (moderne TLS‐versies).

Transport en beveiliging • De JSON‐koppeling moet gebruikmaken van beveiligde transportprotocollen zoals HTTPS (moderne TLS‐versies).

IPv6 wordt niet ondersteund.

IPv6 wordt niet ondersteund.

• Het informatiesysteem van de Opdrachtnemer (waar de informatie van Amsterdam UMC in worden verwerkt) voldoet aantoonbaar aan de eisen voor NEN-EN-ISO/IEC 27001:2023 (Managementsysteem voor informatiebeveiliging, cybersecurity en bescherming van de privacy).

Binnen 10 dagen na mededeling van de voorlopige gunning dient de gegunde partij de volgende documenten te tonen: - GVA; (Eis 11 TN (TenderNed)) - Verklaring van de Belastingsdienst; (Eis 12 TN) - Bewijs van aansprakelijkheidsverzekering; (Eis 3 TN en bijlage B 1.1) - Bewijs van kwaliteitsmanagementsysteem ISO 9001 of gelijkwaardig;(Eis 4 TN en bijlage B 1.2) - Bewijs van milieumanagementsysteem; (Eis 5 TN en bijlage B 1.3) - Een geldig ISO 27001-certificaat (of een vergelijkbare specifieke norm voor cloud/software zoals ISO 27017 / ISO 27018), dat is afgegeven door een onafhankelijke, geaccrediteerde certificatie-instelling. (Eis 13 TN) 4.3 Beoordeling gunningscriteria Gunning zal plaatsvinden op basis van het gunningscriterium beste prijs-kwaliteitverhouding op basis van de volgende subgunningscriteria: Subgunningscriteria Inhoud van het subgunningscriterium Wegings- Maximale 18 van 21 Factor Punten Kwaliteit 70% 700 1 Patiëntveiligheid 35% 245 2 Uniformiteit in dienstverlening 25% 175 3 Koppeling planbord verpleging en organisatie 10% 70 4 Beleving 25% 175 5 Kwaliteitsgarantie 5% 35 Prijs 30% Prijsblad De gehanteerde prijsstelling en overige kosten 300 Totaal 100% De kwaliteit van de dienstverlening van de inschrijvers wordt (mede) beoordeeld aan de hand van open vragen (Bijlage F).

• Het informatiesysteem van de Opdrachtnemer (waar de informatie van Amsterdam UMC in worden verwerkt) voldoet aantoonbaar aan de eisen voor NEN-EN-ISO/IEC 27001:2023 (Managementsysteem voor informatiebeveiliging, cybersecurity en bescherming van de privacy).

Beschrijving IEEE 802.1x WPA2-Enterprise authenticatie en autorisatie is op verschillende manieren mogelijk.

De voorkeur gaat uit naar gebruik van: 1a – PEAP-MSCHAPv2 1b – EAP-TLS Alleen als WPA2-Enterprise niet mogelijk is, mag met toestemming gebruikgemaakt worden van WPA2-Personal (PSK).

Beschrijving IEEE 802.1x WPA2-Enterprise authenticatie en autorisatie is op verschillende manieren mogelijk.

Voor intensief gebruik en een prettigere gebruikerservaring adviseren wij echter een desktop of laptop met HD breedbeeld scherm en vaste internetverbinding. De communicatie met de hoofdpost verloopt in alle gevallen via HTTPS/TLS.

[NEN 3610:2011] Bron: https://damo.hetwaterschapshuis.nl/ Attribuut Definitie Schrijfwijze Code Een uniek identificerende code voor het object.

Verkeer wordt beperkt tot: - HTTPS (443), voor WebUI - Modbus/TCP (502), indien SCADA‐koppeling vereist is.

Indien toegestaan: - Alleen outbound HTTPS naar SMA‐cloudservers.

d) De switches worden ingericht conform het cybersecuritybeleid van de I&A‐afdeling, binnen de technische mogelijkheden van de Moxa EDS‐508A, waaronder: i. verplicht gebruik van HTTPS voor webbeheer ii.

Twee management systemen inrichten en erop nahouden voor een (overheid)organisatie is ondoenlijk en uitgaande van de overheidssituatie dat een overheidsorgaan altijd de kantooromgeving als thuisbasis heeft van waaruit andere activiteiten worden ontplooid, ligt het meer voor de hand om de BIO en het bijbehorende ISMS (eigenlijk het zuivere ISO 27001 framework) als basis te gebruiken voor het management systeem en deze te vullen met de relevante controls en maatregelen uit de IEC 62443 maar ook uit andere bronnen om de risico’s binnen het werkveld van IA te kunnen mitigeren.

BIO Baseline beveiliging IA/PA/OT IEC 62443 CSIR 2.0 Stap 2 BIO/ISO 27001 controls linken aan CSIR en verantwoorden Cybersecurity Implementatie Richtlijn 7 Om te kunnen bepalen of de Baseline beveiliging IA maatregelen toereikend zijn of dat er nog meer aanvullende maatregelen moeten worden getroffen bovenop de baseline beveiliging IA dient altijd een risicoanalyse en afweging gemaakt te worden voor het definiëren van de plus set aan maatregelen boven op de baseline beveiliging IA.

Voor HHNK geldt dat informatiedienten dienen te voldoen aan: a) Baseline Informatiebeveiliging Waterschappen (BIWA), (vanaf 1 januari 2020 zal BIWA worden vervangen door BIO); b) Baseline Informatiebeveiliging BIO; c) Informatiebeveiliging NEN-ISO 27002.

Vereiste 1 2 3 4 CT1 Bij inzet van versleuteling (cryptografie) dient de gekozen versleuteling en de onderliggende algoritmes en instellingen uitsluitend de duiding “goed” te hebben zoals aangegeven in de meest actuele versie van het NCSC document “Richtlijnen voor Transport Layer Security”.

Niet alleen de logserver dient te worden geconfigureerd op een tijdserver, maar ook alle aangesloten componenten zoals PLC’s welke logregels genereren op de logserver; l. Indien mogelijk dient Transport Layer Security (TLS) via TCP op poort 6514 gebruikt te worden (RFC 5425).

S9 Ja Voor applicaties wordt modern authenticatie geëist. Voorbeelden van compatibiliteit zijn OAuth, SAML of WS-Fed. (ref.

ProRail gebruikt Dynatrace voor overall monitoring Remote Management diversen systemen Als protocol: RDP, SSH, HTTPS Als protocol: RDP, SSH, HTTPS, BLAST Voor het beheer van zowel storage systemen als server systemen.

4.6 Security gerelateerde producten preventie Omschrijving Minimaal vereist Maximaal toegestaan Opmerkingen Virusscan server Microsoft defender for Cloud (servers) Microsoft defender for Cloud (servers) Client Microsoft Defender for Endpoint Server Microsoft Defender for Cloud Exchange Microsoft Exchange Online protection Cloud component Office Micosoft Defender for Office 365 Cloud component Identity Microsoft Defender for Identity Cloud component Applicaties Microsoft Defender for Cloud Apps Cloud component Databases Microsoft Defender for SQL Cloud component Encryptie client (inclusief USB storage) BitLocker Reverse proxy / Proxy NetScaler/ Cisco WSA SSL / TLS Minimaal TLS 1.2 SSL3 en lager is niet toegestaan.

• Gebruikersauthenticatie met een RSA token; • Gebruikersauthenticatie met SMS One Time Password (OTP); • User account synchronisatie met RWS Active Directory ldap(s); • Selfservice voor RSA tokens (HTTPS).

Twee management systemen inrichten en erop nahouden voor een (overheid)organisatie is ondoenlijk en uitgaande van de overheidssituatie dat een overheidsorgaan altijd de kantooromgeving als thuisbasis heeft van waaruit andere activiteiten worden ontplooid, ligt het meer voor de hand om de BIO en het bijbehorende ISMS (eigenlijk het zuivere ISO 27001 framework) als basis te gebruiken voor het management systeem en deze te vullen met de relevante controls en maatregelen uit de IEC 62443 maar ook uit andere bronnen om de risico’s binnen het werkveld van IA te kunnen mitigeren.

BIO Baseline beveiliging IA/PA/OT IEC 62443 CSIR 2.0 Stap 2 BIO/ISO 27001 controls linken aan CSIR en verantwoorden

Bron: NEN-ISO/IEC 27001 (nl) Informatietechnologie - Beveiligingstechnieken - Managementsystemen voor informatiebeveiliging - Eisen (ISO/IEC 27001:2017 en,IDT) Pagina 98 van 139 RWS INFORMATIE |Cybersecurity Implementatierichtlijn Objecten | 23 april 2021 Attribuut Definitie Schrijfwijze Object ID Invullen door RWS Bron ID (Uniek ID zoals geregistreerd bij opdrachtnemer) Plaats Waar kan de beheerdocumentatie worden gevonden?

CY010 CY140 Indien de bijlage J "Cybersecurity Implementatierichtlijn Objecten" bij de Vraagspecificatie Projectmanagement niet voorziet in maatregelen voor de invulling van de cybersecurityeisen, dan dient de Opdrachtnemer de NEN-ISO/IEC 27002 (Code voor Informatiebeveiliging) en/of delen van de IEC 62443 standaards (Industrial Automation and Control Systems (IACS) Security) te volgen.

Vereiste Weerstandsniveau 1 2 3 4 CT1 Bij inzet van versleuteling (cryptografie) dient de gekozen versleuteling en de onderliggende algoritmes en instellingen uitsluitend de duiding “goed” te hebben zoals aangegeven in de meest actuele versie van het NCSC document “Richtlijnen voor Transport Layer Security”.

Indien het Systeem geen veilig communicatieprotocol ondersteunt dan mag enkel gemotiveerd en na goedkeuring door de Opdrachtgever het X X X X Pagina 24 van 139 RWS INFORMATIE |Cybersecurity Implementatierichtlijn Objecten | 23 april 2021 onveilige communicatieprotocol worden ingezet, mits er een additioneel versleuteld kanaal wordt toegepast (SSL, TLS, IPSEC etc.). De gekozen versleuteling en de onderliggende algoritmes en instellingen dienen dan uitsluitend de duiding “goed” te hebben zoals aangegeven in de meest actuele versie van het NCSC document “Richtlijnen voor Transport Layer Security”.

Niet alleen de logserver dient te worden geconfigureerd op een tijdserver, maar ook alle aangesloten componenten zoals PLC’s welke logregels genereren op de logserver; l. Indien mogelijk dient Transport Layer Security (TLS) via TCP op poort 6514 gebruikt te worden (RFC 5425).