TenderNed Standaardenmonitor

6.2 De geleverde Prestatie van de Opdrachtnemer voldoet aan de richtlijn van www.digitoegankelijk.

Geschiktheidseis: Maatregelen inzake informatiebeveiliging Inschrijver dient te beschikken over een hoogwaardig systeem voor informatie en databeveiliging. Hiertoe dient Inschrijver te beschikken over een geldig ISO 27001-certificaat of gelijkwaardig certificaat waaruit blijkt dat haar organisatie en haar storage(locaties) voldoen aan de daarin gestelde hoogwaardige beveiligingseisen.

Een kwaliteitscertificaat, opgesteld door een onafhankelijke instantie, ISO/IEC 27001 of gelijkwaardig, geldig op de sluitingsdatum van de inschrijvingstermijn van deze aanbesteding (u volstaat met het toevoegen van een kopie van het certificaat).

Inschrijver kan bij voorgenomen gunning een kopie van het ISO 27001:2013-certificaat of vergelijkbaar en anders een Informatiebeveiligingshandboek met de hierboven beschreven aandachtspunten binnen 7 werkdagen na verzending van het verzoek hiertoe overleggen.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

Informatiebeveiliging De Ondernemer beschikt over een managementsysteem voor informatiebeveiliging dat voldoet aan de eisen van NEN- ISO/IEC 27001, NEN-ISO/IEC 7510 of vergelijkbaar (zie de Aanbestedingsleidraad).

Overige Geschiktheidseisen Informatiebeveiliging De Ondernemer beschikt over een managementsysteem voor informatiebeveiliging dat voldoet aan de eisen van NEN- ISO/IEC 27001, NEN-ISO/IEC 7510 of vergelijkbaar.

103Alle verbindingen van gebruikers met het telemetriesysteem dienen enkel tot stand te komen via HTTPS.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

InformaƟebeveiligingsmanagementsysteem Inschrijver beschikt over een ISO 27001 gecerƟficeerd informaƟebeveiligingsmanagementsysteem of gelijkwaardig dat tot doel heeŌ de vertrouwelijkheid, integriteit en beschikbaarheid van informaƟe(processen) te borgen en conƟnu te verbeteren.

11 van 20 CerƟficering ISO 27001** Meest recent Format geaccrediteerde instelling **ISO 27001 of gelijkwaardig.

D13 Leverancier voldoet bij inzet van AI aan de verplichtingen die voortvloeien uit de Europese AI-verordening (EU 2024/1689), voor zover van toepassing op de aangeboden oplossing. Nr. Categorie: F. Toegankelijkheid F1 De door Leverancier aangeboden oplossing voldoet aan de WCAG 2.1 (Web Content Accessibility Guidelines) richtlijnen.

K4 Communicatie tussen de aangeboden oplossing en externe systemen via koppelingen of API’s is versleuteld (bijvoorbeeld via HTTPS/TLS).

D11 Leverancier beschikt gedurende de gehele looptijd van de overeenkomst over een aantoonbaar geïmplementeerd en onderhouden managementsysteem voor informatiebeveiliging conform ISO 27001 (laatst geldende versie).

Technisch SE-002 SE = Security Security & Compliance Ondersteuning van SAML voor Single Sign‐On.

Naast de levering omvat de opdracht de inrichting en configuratie per organisatie, de migratie van de bestaande koppelingen en het structurele beheer en onderhoud gedurende de looptijd van de overeenkomst. De opdracht betreft de levering van een ESB-platform en een datadistributiemodule als multi-tenant SaaS/iPaaS-dienst, inclusief aansluiting op landelijke voorzieningen via Diginetwerk en Digikoppeling, conform Bijlage D – Programma van Eisen.

b) Een nieuwe koppeling met een landelijke voorziening via Digikoppeling, profiel ebMS2.

1 Doel en afbakening De PoC bestaat uit vier samenhangende berichtstromen: distributie van NHR-testgegevens, verwerking van een BRP-testmutatie, herstel bij een onbereikbare afnemer en uitwisseling volgens Digikoppeling ebMS2.

Technisch BE-026 BE = Beheer Beheerprocessen & SLA Beheer en configuratie verlopen volledig via een standaard webbrowser over HTTPS.

Technisch FL-001 FL = Flexibiliteit Integratiemogelijkheden & Standaarden Ondersteuning van RESTful API’s (HTTPS, JSON, OpenAPI).

Nee Niet ingevuld (HTTPS/XML) 70 MOOR Platform – Unit4 Financials Gegevensuitwisseling tussen MOOR en Unit4 Financials.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

Na voorgenomen gunning, vóór verificatievergadering Geschiktheidseis Pagina 8 van 13 Certificaat Informatiebeveiligingsm anagementsysteem Een aantoonbaar functionerend informatiebeveiligingsmanagementsysteem , bijvoorbeeld (maar niet uitsluitend) blijkend uit een ISO 27001-certificaat, een gelijkwaardig certificaat, aantoonbare naleving van de Baseline Informatiebeveiliging Overheid (BIO), of een eigen informatiebeveiligingsbeleid met beschrijving van de getroffen maatregelen.

(Zaakgericht Werken) Technisch FL-008 FL = Flexibiliteit Integratiemogelijkheden & Standaarden Voor koppelingen die de StUF-standaard voorschrijven, ondersteunt de oplossing StUF inclusief de relevante sectormodellen.

Voor koppelingen die StUF niet hanteren, geldt deze eis niet.

De voorziening ondersteunt ten minste: het afnemen van mutaties op basis van een abonnement per afnemer, het doorleveren van kennisgevingen volgens de geldende StUF- en ZGW-standaarden, en het synchroon bevragen van actuele gegevens.

Het is niet geoorloofd gegevens uit dit rapport te gebruiken in publicaties zonder nauwkeurige bronvermelding. ResearchNed werkt conform de kwaliteitsnormen NEN-EN-ISO 9001:2015 voor kwaliteitsmanagementsystemen, NEN-ISO 20252:2019 voor markt-, opinie- en maatschappelijk onderzoek en NEN-ISO 27001:2017 voor informatiebeveiliging Evaluatie co-creatielabs Ontwikkelkracht - eindrapportage | iii Inhoudsopgave Inhoudsopgave.......................................................................................................................

De BIO2 is gebaseerd op de laatste versie van de ISO 27001 en de ISO 27002.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

De BIO2 is gebaseerd op de laatste versie van de ISO 27001 en de ISO 27002.

Daarnaast zijn de volgende Koppelingen vereist: Koppeling Type Vereist/Optioneel CCTV <-> TRS Gebeurteniskoppeling: cameraactivatie bij toegangsevent Vereist TRS <-> Brand- en inbraakinstallatie Alarmkoppeling (I/O): blokkade lezers bij gewapend alarm Vereist TRS <-> Microsoft EntraID SAML 2.0/LDAP: SSO en tweefactorauthenticatie Vereist CCTV/TRS <-> Gebouwbeheersysteem API/Protocol Optioneel IN-002 Integratievereisten: • Bij een ongeautoriseerde toegangspoging activeert het systeem automatisch de dichtstbijzijnde camera • Bij een brandalarm worden alle nooduitgangen automatisch ontgrendeld (fail-safe) • Bij een inbraakalarm worden alle lezers in het betreffende gebied geblokkeerd • De oplossing ondersteunt standaard Koppelingen met Microsoft Entra ID en AFAS via gedocumenteerde API's of standaardconnectoren.

O2-002 Beeldkwaliteit opname • Resolutie: conform camera-specificaties (min. 1080p binnen, 4MP buiten) • Framerate: minimaal 25 fps per camera • Compressie: H.265 voor optimale balans kwaliteit/opslagruimte • Bitrate: aanpasbaar per camera (constant of variabel) • Dual stream: hoge kwaliteit voor opname, lagere kwaliteit voor live viewing (bandbreedte) • Kwaliteitsniveaus: instelbaar per camera afhankelijk van belangrijkheid • Pre-alarm recording: minimaal 10 seconden vóór alarm • Post-alarm recording: minimaal 30 seconden na alarm 2.4 Video Management Software Nr. Omschrijving V2-001 Algemene VMS-eisen • Nederlandstalige interface (volledig) • Intuïtieve bediening: minimale training nodig voor dagelijks gebruik • Multi-monitor ondersteuning (minimaal 2 schermen) • Webbased toegang voor remote viewing (beveiligd) • Mobiele apps voor iOS en Android • ONVIF compliant voor camera-integratie • API beschikbaar voor Koppelingen met andere systemen • Microsoft EntraID / LDAP integratie met SSO via SAML 2.0 • Schaalbaar: uitbreidbaar met meer camera’s en locaties zonder beperkingen • Tweefactorauthenticatie voor beheerders en remote toegang • Sessies worden automatisch beëindigd na instelbare periode van inactiviteit • Na drie foutieve inlogpogingen wordt account geblokkeerd V2-002 Live viewing functionaliteit • Configureerbare lay-outs: 1x1, 2x2, 3x3, 4x4 en custom • Drag-and-drop camera's naar monitors Aanbesteding van Plan- en regelbeheersoftware Referentie: TN612786 Bijlage 2AD Versie: 1.0 Datum: 17 september 2026 • PTZ-bediening: pan/tilt/zoom met muisbesturing • Digitale zoom in live beeld • Instant playback: direct terug kunnen kijken zonder live te verlaten • Alarm pop-ups bij events • Audio (indien van toepassing) • Snapshot functie • Grafische plattegronden met cameraposities (kaart-view) • Sequence viewing: automatische roulatie door camera's V2-003 Playback en zoekfunctionaliteit • Timeline-based playback: intuïtieve tijdlijn • Multi-camera playback: meerdere camera's synchroon terugkijken • Snelle zoekfunctie op: datum, tijd, camera, alarm, beweging • Smart search: zoeken op beweging binnen bepaald gebied • Thumbnail view: snel overzicht van opgenomen periode • Variable speed playback: 0.25x tot 32x snelheid • Frame-by-frame: nauwkeurige analyse • Digitale zoom in playback zonder kwaliteitsverlies • Bookmarks: markeren belangrijke momenten V2-004 Export en bewijslast • Export naar standaard formaten (AVI, MP4) • Exporteren met native player (opslaan van videobeelden in het oorspronkelijke, onbewerkte formaat) • Watermerk en digitale handtekening tegen manipulatie • Exporteren naar USB, netwerkschijf en e-mail • Meerdere camera's in één export • Metadata: datum, tijd, camera en locatie • Print snapshots met metadata • Exportrechten apart toekennen per gebruiker V2-005 Privacy en beveiliging • Privacy masking: afschermen privacygevoelige gebieden (vaste maskers) • Gebruikersbeheer: granulaire rechten per gebruiker/groep • Audit trail: volledige logging van alle gebruikersacties • Automatische uitlog na inactiviteit • Sterke wachtwoordeisen (complexiteit, rotatie) • Tweefactor authenticatie (optioneel maar aanbevolen) • Versleutelde communicatie (TLS/SSL) • Versleutelde opslag (optioneel) • Toegang beperken tot specifieke camera's per gebruiker Aanbesteding van Plan- en regelbeheersoftware Referentie: TN612786 Bijlage 2AD Versie: 1.0 Datum: 17 september 2026 • Export-rechten apart toekennen (niet iedereen mag exporteren) • Alle Gegevens verwerkt en opgeslagen binnen de EER V2-006 Intelligente analysefuncties • Indien AI- of videoanalysefunctionaliteit gebruikmaakt van cloudverwerking: • vindt verwerking plaats binnen de EER; • worden geen beelden gebruikt voor modeltraining; • blijft Opdrachtgever eigenaar van alle Gegevens.

A-006a Authenticatie en toegangsbeveiliging Het Systeem ondersteunt federatieve authenticatie via gangbare standaarden waaronder minimaal SAML 2.0 en OpenID Connect.

4.3.6 Onderhoudbaarheid Nummer Omschrijving NF-P-171 De Applicatie is (inclusief eventuele losse modules) webbased. Dit betekent dat alle functionaliteit via een webbrowser toegankelijk moet zijn op basis van HTML 5/HTTPS zijn zonder installatie van Applicatie of plug-ins of add-ons op de apparaat van de eindgebruiker.

NEN-EN-ISO 27001 Uitgevende instantie 12.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

Om aan zijn plichten uit artikel 38 van de Inkoopvoorwaarden te voldoen, overlegt Leverancier jaarlijks een ISO-certificering (ISO 27001).

• REST (REpresentational State Transfer) • JSON (JavaScript Object Notation) • W3C webservices (SOAP/XML) • StUF ZGW en BG etc • OGC standaarden En moeten eenduidig en duidelijk zijn gedocumenteerd bij oplevering van de Applicatie.

Opdrachtnemer levert bij oplevering: • volledige API-documentatie; • export van configuraties; • export van gebruikers- en autorisatiestructuren; • export van logginggegevens; Aanbesteding van Plan- en regelbeheersoftware Referentie: TN612786 Bijlage 2AD Versie: 1.0 Datum: 17 september 2026 • export van camerabeelden in gangbare formaten; • migratiedocumentatie ten behoeve van toekomstige vervanging van de oplossing. Voor deze exportmogelijkheden gelden geen aanvullende licenties IN-003 Netwerkinfrastructuur • Dedicated beveiligings-VLAN (logische scheiding van bedrijfsnetwerk) > eigen netwerklijn • Gigabit Ethernet connectiviteit minimum • PoE switches (IEEE 802.3at/bt) voor camera's en controllers (deels aanwezig) • Bekabeling minimaal Cat6 UTP, bij voorkeur Cat6a • Gebruik bestaande kabeltracés waar mogelijk • Redundante netwerkverbindingen voor kritieke componenten • VPN voor remote toegang beheer (verplicht in combinatie met tweefactorauthenticatie) • Firewall segmentatie beveiligingsnetwerk • Network Access Control (NAC) voor netwerkaansluitingen buiten het gebouw, specifiek voor paslezers bij slagboom en fietsenstalling • Paslezers buiten het gebouw: extra fysieke bescherming van de netwerkaansluiting Aanbesteding van Plan- en regelbeheersoftware Referentie: TN612786 Bijlage 2AD Versie: 1.0 Datum: 17 september 2026 IN-004 Cyberbeveiliging (zie A-006b) • Alle communicatie versleuteld via TLS 1.3 • Sterke wachtwoordvereisten: minimaal 12 tekens met complexiteitseisen • Tweefactorauthenticatie verplicht voor remote toegang en beheer • Hardening van alle apparaten: onnodige diensten uitschakelen, standaardwachtwoorden wijzigen, beveiligingsinstellingen op veilige waarden conform CIS Controls en OWASP-richtlijnen • Opdrachtnemer installeert firmware- en software-updates: beveiligingspatches conform onderstaande prioriteitsindeling: • P1 (Kritiek): binnen 48 uur; • P2 (Hoog): binnen 7 alenderdagen; • P3 (Middel): binnen 30 kalenderdagen; • P4 (Laag): binnen 90 kalenderdagen.

C2-004 Naast de TLS 1.3-certificaten voor het Systeem en de Applicatie zullen ook de 802.1xcertificaten van de controllers beheersbaar zijn.

Omdat SAML complexer is qua security, hanteren wij strikte eisen om de integriteit van de authenticatie te waarborgen.

De Oplossing ondersteunt authenticatie via de volgende protocollen conform de lijst met open standaarden van het Forum Standaardisatie: • OpenID Connect (OIDC) (voorkeur) óf SAML 2.0 en • OAuth 2.0 voor API-toegang E139.

Statutaire naam Gegadigde Naam ondertekenaar Functie ondertekenaar Handtekening Plaats en datum Statutaire naam onderaannemer Naam ondertekenaar Functie ondertekenaar Handtekening Plaats en datum TGV: Koppeldocument Applicatie Date 05/15/2026 Version v.3 Table of contents 1 OpenID Connect (OIDC) Koppeling...........................................................................................................................3 1.1 Applicatietypes ...............................................................................................................................................................3 1.2 Ondersteunde Grant Types .....................................................................................................................................3 1.3 Tokens & Scopes ............................................................................................................................................................5 1.4 Wat wij van u nodig hebben (OIDC)....................................................................................................................5 1.5 Wat u van ons krijgt (OIDC)......................................................................................................................................5 2 SAML 2.0 Koppeling (Legacy / Enterprise)..........................................................................................................7 2.1 Onze Security Eisen voor SAML2..........................................................................................................................7 2.2 Wat wij van u nodig hebben (SAML2)................................................................................................................7 2.3 Wat u van ons krijgt (SAML2)..................................................................................................................................7 3 Invulformulier voor de Aanvrager..............................................................................................................................8 4 IdP Omgevingen NIPV.......................................................................................................................................................9 TGV: Koppeldocument Applicatie 2 Dit document beschrijft de vereisten en parameters voor het koppelen van externe applicaties met de centrale Identity Provider (IdP) van het Nederlands Instituut Publieke Veiligheid (NIPV).

De Oplossing ondersteunt DNSSEC voor de webservices.

De Oplossing voldoet aan de richtlijnen voor de toegankelijkheid van de digitale dienstverlening conform DigiToegankelijkheid (WCAG 2.1, niveau AA, EN301549).

De in dit document weergegeven verwijzingen naar geo-standaarden, protocollen, technische specificaties en versies (waaronder maar niet beperkt tot standaarden van het Forum Standaardisatie, OGC en aanverwante organisaties) zijn onderhevig aan doorontwikkeling en wijziging. De Inschrijver kan aan eventuele onvolledigheden, verouderde verwijzingen of onnauwkeurigheden in deze specificaties geen rechten ontlenen.

De Geo-viewer biedt functionaliteit om gegevens te exporteren/downloaden naar verschillende formaten, in ieder geval naar geopackage, geojson, shp, xls(x) en csv.

De Oplossing ondersteunt de volgende standaarden / technieken: • de verplichte geo-standaarden op de ‘pas-toe-leg-uit’-lijst van Forum Standaardisatie; • OGC webservices; • netwerkprotocol MQTT; • netwerkprotocol Websocket; • netwerkprotocol Webhooks; • netwerkprotocol REST; • de ‘message broker’ Apache Kafka; • Open Database Connectivity (ODBC).

Redirect URI(s): De exacte URL('s) waar de gebruiker naartoe wordt gestuurd na succesvol inloggen (moet HTTPS zijn).

De hosting partner en organisatie van de Opdrachtnemer zijn ISO/IEC 27001 gecertificeerd en voldoen aan de voorwaarden genoemd in de Algemene Verordening Gegevensbescherming (AVG).

De infrastructuur en organisatie van de Opdrachtnemer (inclusief rekencentra (incl. back-up)) zijn adequaat beveiligd volgens ISO/IEC 27001 en ISO/IEC 27002 of vergelijkbaar.

7.6 Informatiebeveiliging Geschiktheidseis 6: Informatiebeveiliging De Inschrijver dient te beschikken over een informatiebeveiligingsmanagement systeem gelijkwaardig aan ISO/IEC 27001.

De infrastructuur en organisatie van de Opdrachtnemer (inclusief rekencentra (incl. back-up)) zijn adequaat beveiligd volgens ISO/IEC 27001 en ISO/IEC 27002 of vergelijkbaar.

Hierbij dient gebruik te worden gemaakt van het SSL-protocol op basis van TLS 1.2 of beter (voorkeur is TLS 1.3).

Transport en beveiliging • De JSON‐koppeling moet gebruikmaken van beveiligde transportprotocollen zoals HTTPS (moderne TLS‐versies).

Transport en beveiliging • De JSON‐koppeling moet gebruikmaken van beveiligde transportprotocollen zoals HTTPS (moderne TLS‐versies).

IPv6 wordt niet ondersteund.

IPv6 wordt niet ondersteund.

• Het informatiesysteem van de Opdrachtnemer (waar de informatie van Amsterdam UMC in worden verwerkt) voldoet aantoonbaar aan de eisen voor NEN-EN-ISO/IEC 27001:2023 (Managementsysteem voor informatiebeveiliging, cybersecurity en bescherming van de privacy).

Binnen 10 dagen na mededeling van de voorlopige gunning dient de gegunde partij de volgende documenten te tonen: - GVA; (Eis 11 TN (TenderNed)) - Verklaring van de Belastingsdienst; (Eis 12 TN) - Bewijs van aansprakelijkheidsverzekering; (Eis 3 TN en bijlage B 1.1) - Bewijs van kwaliteitsmanagementsysteem ISO 9001 of gelijkwaardig;(Eis 4 TN en bijlage B 1.2) - Bewijs van milieumanagementsysteem; (Eis 5 TN en bijlage B 1.3) - Een geldig ISO 27001-certificaat (of een vergelijkbare specifieke norm voor cloud/software zoals ISO 27017 / ISO 27018), dat is afgegeven door een onafhankelijke, geaccrediteerde certificatie-instelling. (Eis 13 TN) 4.3 Beoordeling gunningscriteria Gunning zal plaatsvinden op basis van het gunningscriterium beste prijs-kwaliteitverhouding op basis van de volgende subgunningscriteria: Subgunningscriteria Inhoud van het subgunningscriterium Wegings- Maximale 18 van 21 Factor Punten Kwaliteit 70% 700 1 Patiëntveiligheid 35% 245 2 Uniformiteit in dienstverlening 25% 175 3 Koppeling planbord verpleging en organisatie 10% 70 4 Beleving 25% 175 5 Kwaliteitsgarantie 5% 35 Prijs 30% Prijsblad De gehanteerde prijsstelling en overige kosten 300 Totaal 100% De kwaliteit van de dienstverlening van de inschrijvers wordt (mede) beoordeeld aan de hand van open vragen (Bijlage F).

• Het informatiesysteem van de Opdrachtnemer (waar de informatie van Amsterdam UMC in worden verwerkt) voldoet aantoonbaar aan de eisen voor NEN-EN-ISO/IEC 27001:2023 (Managementsysteem voor informatiebeveiliging, cybersecurity en bescherming van de privacy).

Beschrijving IEEE 802.1x WPA2-Enterprise authenticatie en autorisatie is op verschillende manieren mogelijk.

De voorkeur gaat uit naar gebruik van: 1a – PEAP-MSCHAPv2 1b – EAP-TLS Alleen als WPA2-Enterprise niet mogelijk is, mag met toestemming gebruikgemaakt worden van WPA2-Personal (PSK).

Beschrijving IEEE 802.1x WPA2-Enterprise authenticatie en autorisatie is op verschillende manieren mogelijk.