TenderNed Standaardenmonitor

Vervolg bijlage 1: Getroffen beveiligingsmaatregelen OPTIE 1: Als Verwerker beschikt over certificaten die afdoende zijn ISO 27001 NEN 7510 SOC 2 Toepassingsgebied .....

OPTIE 2: Als Verwerker niet beschikt over certificaten die afdoende zijn Onderwerp Maatregel Toelichting Informatiebeveiligings- en privacybeleid Verwerker heeft een informatiebeveiligings- en privacybeleid dat voldoet aan de AVG en eventuele richtsnoeren van de Autoriteit Persoonsgegevens en aansluit op algemene standaarden zoals ISO 27001/2/18, NOREA of CoBIT.

Het leeraanbod moet voldoen aan de volgende eisen: - Het leeraanbod is toegankelijk en inclusief ontworpen voor alle deelnemers, ongeacht culturele achtergrond, gender, neurodiversiteit, levensfase of beperking. Dit geldt voor zowel digitale als niet-digitale onderdelen van het programma: - Digitale leermodules, e-learningcontent en online tools voldoen aan de toegankelijkheidsstandaard WCAG 2.1 niveau AA.

8.3 Indien de Verwerker periodiek een verklaring of certificaat (bijv. een ISO 27001-certificaat) van een onafhankelijke deskundige overlegt waaruit blijkt dat de Verwerker voldoet aan de verplichtingen uit de Verwerkersovereenkomst, de AVG en de toepasselijke wetgeving, en er geen aanwijzingen zijn van nietnaleving, is een reguliere audit niet vereist. Deze verklaring of certificaat moet bij het verlopen van de geldigheidsduur worden vernieuwd en opnieuw worden aangeleverd.

Frequentie van de uit te voeren reguliere audit: [SELECTEER ÉÉN OPTIE EN VERWIJDER DE REST. INDIEN ‘NIET VAN TOEPASSING’ WORDT GEKOZEN, SPECIFICEER HET CERTIFICAAT OF DE VERKLARING] o Eens per 2 jaar o Jaarlijks o Niet van toepassing, aangezien de Verwerker periodiek een [naam verklaring of certificaat, bijv. ISO 27001- certificaat] overlegt van een onafhankelijke deskundige waaruit blijkt dat de Verwerker voldoet aan de verplichtingen uit de Verwerkersovereenkomst, de AVG en de toepasselijke wetgeving De door Verwerker ingeschakelde Subverwerkers zijn: Subverwerker (naam en adres) Persoonsgegevens die Subverwerker verwerkt Omschrijving van de reden voor de subverwerking Land van verwerking De doorgiften naar derde landen bij de Verwerking zijn: Doorgifte naar derde landen (naam en adres partij die Persoonsgegevens ontvangt) Doel doorgifte (kostenbesparingen, schaalvoordelen of beveiligingsverbeteringen) Doorgiftemechanisme (bijv. Standard Contractual Clauses) Aanvullende maatregelen naar aanleiding van een doorgifte aan een derde land (indien van toepassing) Contactgegevens: Algemene contactgegevens Naam Functie E-mailadres Telefoonnummer Verwerkingsverantwoordelijke SURF Verwerkersovereenkomst 4.0 – Juni 2025 Page 8 of 12 Verwerker SURF Verwerkersovereenkomst 4.0 – Juni 2025 Page 9 of 12 Bijlage B: Beveiligingsmaatregelen Versienummer XX, datum: [datum] SELECTEER ÉÉN OPTIE EN VERWIJDER DE ANDERE OPTIE 1: Als Verwerker beschikt over certificaten die afdoende zijn Verwerker beschikt over de volgende geldige certificaten of verklaringen van een deskundige derde waaruit blijkt dat Verwerker voldoet aan zijn verplichting de Persoonsgegevens die hij ten behoeve van Verwerkingsverantwoordelijke verwerkt adequaat te beveiligen: Naam of nummer Toepassingsgebied Geldigheidsduur bijv. ISO 27001, NEN 7510, SOC 2 Verwerker draagt ervoor zorg dat hij gedurende deze Verwerkersovereenkomst blijft beschikken over bovenstaande certificaten of een gelijkwaardige opvolger daarvan met een nieuwe geldigheidsduur.

1 Informatiebeveiligings- en privacybeleid Verwerker heeft een informatiebeveiligings- en privacybeleid dat voldoet aan de AVG en eventuele richtsnoeren van de Autoriteit Persoonsgegevens en aansluit op algemene standaarden zoals ISO 27001/2/18, NOREA of CoBIT.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

Bewijs dat u beschikt over een ISO 27001 certificaat of gelijkwaardig.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

Bijlage 2: Aantonen passend niveau van beveiliging Normenstelsel □ De verwerker werkt volgens een algemeen erkende norm voor informatiebeveiliging, te weten: Clappform is ISO27001;2022 en ISO9001;2015 gecertificeerd (vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

Informatiebeveiliging Op de uiterste datum voor het indienen van de Aanmelding dient de Gegadigde te beschikken over een geldig ISO/IEC 27001:2022- certificaat of een gelijkwaardig certificaat of bewijs.

een kopie van een geldig ISO/IEC 27001:2022-certificaat, afgegeven door een daartoe geaccrediteerde onafhankelijke certificerende instelling, waarop ten minste de certificeringsscope en de geldigheidsduur zijn vermeld; of 2.

De Gegadigde dient daarbij gemotiveerd aan te tonen dat de getroffen maatregelen gelijkwaardig zijn aan de maatregelen die op grond van ISO/IEC 27001:2022 worden verlangd.

Voor ISO 9001 en ISO/IEC 27001 geldt dat de Gegadigde zowel in het UEA verklaart dat aan de betreffende Geschiktheidseis wordt voldaan als het bijbehorende certificaat of gelijkwaardige bewijs bij de Aanmelding toevoegt.

☐ ISO/IEC 27001-certificaat of gelijkwaardig bewijs Ja.

Als afzonderlijk bewijsstuk via TenderNed toevoegen aan de Aanmelding. Een geldig ISO/IEC 27001-certificaat waarvan het toepassingsgebied van het ISMS aantoonbaar relevant is voor de activiteiten die de Gegadigde voor deze Opdracht uitvoert, of een overeenkomstig hoofdstuk 4 toegestaan gelijkwaardig bewijs.

Om die reden zijn een ISO 27001-certificering, een verwerkersovereenkomst en/of een addendum inzake informatiebeveiliging niet van toepassing. De verzekeringseis blijft echter wel van kracht.

Digitale toegankelijkheid; het klantportaal is toegankelijk voor alle gebruikers en voldoet minimaal aan WCAG 2.1 niveau AA.

Certificeringen De marktpartijen geven aan te beschikken over verschillende certificeringen en standaarden op het gebied van informatiebeveiliging, kwaliteitsmanagement en IT-dienstverlening. Veelgenoemde certificeringen zijn ISO 27001 en ISO 9001.

Sommige partijen geven aan dat aanvullende certificeringen, zoals ISO 27001, momenteel in voorbereiding zijn.

In te dienen bewijsmiddelen bij Verzoek tot deelneming Bewijsmiddel Geldigheidstermijn Uniform Europees Aanbestedingsdocument (UEA)* Meest recent Bijlage 2 - Referentieformulier Geschiktheidseis Niet van toepassing Bijlage 3 - Referentieformulier Selectiecriterium S1 Niet van toepassing ISO 9001:2015 certificaat of gelijkwaardig (ten behoeve van Selectiecriterium S2) Bewijsmiddel moet geldig zijn op moment van Aanmelding Uittreksel KvK 6 maanden, gerekend vanaf uiterste datum indiening Verzoek tot deelneming Op verzoek aan te leveren bewijsmiddelen (binnen 10 kalenderdagen) na verzoek Bewijsmiddel Geldigheidstermijn GVA 2 jaar, gerekend vanaf uiterste datum indiening Inschrijving Verklaring Belastingdienst 6 maanden, gerekend vanaf uiterste datum indiening Inschrijving 25 Selectieleidraad Europees niet-openbare aanbesteding ‘Vernieuwing van het Klantportaal’ Kenmerk: TN 600608 Verklaring Belastingdienst 6 maanden, gerekend vanaf uiterste datum indiening Inschrijving Verzekeringspolis of -certificaat Bewijsmiddel moet geldig zijn op moment van Inschrijving Aanmelding ISO 27001:2022 certificaat, / ISAE3402 of gelijkwaardig Bewijsmiddel moet geldig zijn op moment van Inschrijving Aanmelding * Voor het invullen van het ‘Uniform Europees Aanbestedingsdocument’ dient deze te zijn geopend met Acrobat Reader.

VRAAG 32 Kunt u aangeven of onderzoeken naar BIO-, ISO 27001-, ENSIA-, NEN 7510- of vergelijkbare normenkaders binnen het DAS kunnen vallen wanneer het zwaartepunt ligt op technische security?

Unieke opdrachtnemers: 7 Format Nota van Inlichtingen 7 behorend bij Security en Penetratietesten voor het ministerie van Binnenlandse Zaken en Koninkrijksrelaties, de Dienst Logius 11 van 17 VRAAG 42 Kunt u aangeven of bij toekomstige offerteaanvragen specifieke certificeringen, zoals OSCP, OSWE, CISSP, CREST, ISO 27001 Lead Auditor of vergelijkbaar, verplicht kunnen worden gesteld?

Met partijen uit het bedrijfsleven zoals VNO-NCW/MKB NL, Bouwend Nederland, Nederland ICT, TLN, ZZP Nederland, SRA, ABU/SETU is afgesproken dat de Rijksoverheid deze voortrekkersrol vervult om zo e-factureren in Nederland definitief op de kaart te zetten en te zorgen dat bedrijven en medeoverheden versneld op e-factureren overgaan.

The Counterparty ensures that the SSO solution complies with relevant industry standards, including protocols such as SCIM, SAML 2.0 and OAuth 2.0.

34 Reliance on standard assurance reporting Can Enexis confirm that commonly accepted third-party assurance materials such as ISO 27001 certifications, SOC 2 Type II reports, ISAE 3402 reports, penetration-test attestations and completed security questionnaires will be considered before requesting dedicated supplier audits?

No, the Tenderer must have an information security management system that meets the requirements of ISO 27001 (or equivalent).

The Other Party will install and implement the ICT Solution in accordance with the ISO 27001 standard (or equivalent) - insofar as necessary - develop and maintain it and keep it available for the Intended Use in accordance with the latest versions of the OWASP standards or the ICT-Security Guidelines from the NCSC (Nationaal Cyber Security Centrum) (or equivalent).