TenderNed Standaardenmonitor

Over welke certificeringen beschikt u (bijvoorbeeld ISO 27001)? 

● Financial statements for the last three (3) financial years in which the Candidate's solvency is analysed (5.1) ● A group guarantee (5.2) ● An insurance policy, insurance certificate or the declaration of the insurance company (5.3) ● The statement of possessing ISO 27001 for Security management system (5.4) NOTE: This is a verification question.

Het betreft onder meer eisen ten aanzien van governance en een managementsysteem voor informatiebeveiliging (zoals ISO 27001-certificering), het beveiligingsbeleid, personele beveiliging, incidentmanagement en de verplichting tot het melden van beveiligingsincidenten en datalekken De versie van deze Security Annex die van toepassing is, betreft de versie die online beschikbaar is op het moment van (i) aanvaarding van de AIV, of (ii) indien de AIV niet van toepassing is, ondertekening van de Overeenkomst. Indien beide momenten van toepassing zijn, geldt het vroegste moment.

Als onderbouwing verstrekt Leverancier op verzoek van SNBV ten minste (i) een (CYRA) zelfverklaring of certificaat en/of (ii) een geldig ISO 27001-certificaat(indien aanwezig).

De Leverancier zorgt ervoor dat medewerkers en ingeschakelde derden die op afstand toegang hebben tot systemen of informatie van SNBV, dit uitsluitend doen via een versleutelde verbinding (minimaal TLS 1.2 of VPN met AES-256) en een door de Leverancier beheerd, gehardend eindpuntapparaat.

Inschrijver beschikt over een geldig ISO 27001:2013 certificaat of een hieraan gelijkwaardige certificering, afgegeven door een daartoe geautoriseerde instantie, of een managementsysteem voor informatiebeveiliging dat voldoet aan deze normering. Op verzoek van de OU levert de inschrijver die met zijn inschrijving op de eerste plaats in rang is geëindigd, binnen de gestelde termijn, de bewijsstukken.

SSO met Entra ID (SAML en/of OIDC) De applicatie ondersteunt Single Sign On met Microsoft Entra ID via bij voorkeur OIDC.

EN 301 549 en open standaarden De oplossing ondersteunt naleving van EN 301 549 (toegankelijkheid) en voldoet aan verplichte open standaarden voor “Internet en Beveiliging” zoals vastgesteld door Forum Standaardisatie.

• ISO 27001 Internationale norm voor informatiebeveiliging. Pagina 6 van 6 • Tenant-isolatie Scheiding van data tussen verschillende organisaties in één systeem.

Voldoen aan de norm ISO 27001, of vergelijkbare maatregelen, geven aan dat er voldoende aan wordt gedaan om dit te voorkomen.

Informatiebeveiliging: Inschrijver beschikt over een managementsysteem voor informatiebeveiliging. Bewijsstuk: ISO 27001 of gelijkwaardig.

Versleuteling verbindingen en data Alle dataverbindingen zijn beveiligd met TLS 1.2 of hoger.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

• Alle communicatie verloopt via HTTPS (TLS 1.2 of hoger).

Gegadigde beschikt over een Informatiebeveiligingsmanagementsysteem op basis van NEN-EN-ISO 27001:2023.

In geval van verificatie: Upload een kopie van een geldig ISO 27001:2023 certificaat of gelijkwaardig, inclusief de Verklaring van Toepasselijkheid (VvT).

4.3 ORGANISATORISCHE EISEN 4-3-1 Managementsystemen Eis Gegadigde en elke eventuele uitvoerende Combinant en -Derde dient te beschikken over de volgende managementsystemen: A. Informatiebeveiligingsmanagementsysteem op basis van NEN-EN-ISO 27001:2023 7 Bewijslast Als bewijs dat Gegadigde voldoet aan deze eis volstaat in eerste instantie de Eigen Verklaring van de Gegadigde, en dient op verzoek het volgende bewijs te worden aangeleverd: • een kopie van een geldig ISO 27001:2023-certificaat, of gelijkwaardig Nadere bepalingen • Als bewijs worden geaccepteerd: het genoemde certificaat, een gelijkwaardig certificaat, en andere bewijzen van een gelijkwaardig werkend managementsysteem.

• Alle communicatie verloopt via HTTPS (TLS 1.2 of hoger).

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

Bijlage 2: Aantonen passend niveau van beveiliging Normenstelsel De verwerker werkt volgens een algemeen erkende norm voor informatiebeveiliging, namelijk:……………………………………………………………………………………………..(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

Deze maatregelen omvatten ten minste toegangsbeheer, dataversleuteling, en continue monitoring op beveiligingsincidenten, conform geldende wet- en regelgeving, waaronder de Algemene Verordening Gegevensbescherming (AVG) en toepasselijke informatiebeveiligingsnormen (zoals ISO 27001 of gelijkwaardig).

Het VMS dient ISO 27001 gecertificeerd )of gelijkwaardig) te zijn bij inschrijving en gedurende de looptijd van de Raamovereenkomst. Opdrachtnemer zorgt tevens voor het beheer van data en back-ups.

De belangrijkste (bronnen van en hun opvolgers) standaarden (niet limitatief) worden hieronder opgesomd: a. NORA (www.noraonline.nl en www.digitaleoverheid.nl/onderwerpen/nora); b. RijksOverheid Referentie Architectuur (RORA), de opvolger van de Enterprise Architectuur Rijksdienst (EAR) (www.roraonline.nl); c. In voorkomende gevallen conformeert Deelnemer zich aan de Open Standaarden zoals vermeld op de website van Forum Standaardisatie (https://www.forumstandaardisatie.nl/ Deelnemer kan in de specificatie van de Nadere overeenkomst expliciet verwijzen naar de relevante Open Standaarden die op de ‘pas toe of leg uit’-lijst van Forum Standaardisatie staan en hier nadere eisen aan stellen; d. De digitoegankelijkheidseisen voor applicaties van de Rijksoverheid (https://www.digitoegankelijk.nl/ en https://www.forum standaardisatie.nl/openstandaarden/digitoegankelijk-en-301-549-met-wcag-21) Programma van Eisen RVICTO-MDA 2026-II versie D4.0 Pagina 5 van 52 e. Informatiebeveiliging: het Besluit voorschrift informatiebeveiliging rijksdienst (VIR) 2007, het Besluit voorschrift informatiebeveiliging rijksoverheid – bijzondere informatie (VIRBI) 2025, de Baseline Informatiebeveiliging Overheid (BIO2) A.4.2 Aanvullend gelden de volgende bronnen: f. De NPR 5333 als richtlijn voor het output-gebaseerd contracteren en meten van prestaties in agile opdrachten voor softwareontwikkeling en -onderhoud NPR 5333:2025 nl g. De ICT-beveiligingsrichtlijnen voor webapplicaties, uitgegeven door het NCSC (https://www.ncsc.nl/documenten/publicaties/2019/mei/01/ict-beveiligingsrichtlijnenvoor-webapplicaties) h. Basisregistraties en stelselafspraken, oftewel het gebruik van authentieke gegevensbronnen: https://www.digitaleoverheid.nl/overzicht-van-alleonderwerpen/basisregistraties-en-stelselafspraken/stelsel-vanbasisregistraties/stelselplaat/ i. EN/NPR 5326 voor risicobeheersing bij ontwikkeling en onderhoud van maatwerksoftware: https://www.nen.nl/NEN-Shop/Norm/NPR-53262019-nl.htm.

• Digitale Toegankelijkheid: Fungeren als kenniscentrum voor digitale toegankelijkheid (digitoegankelijk.nl).

Opdrachtnemer heeft hiervoor een effectief werkend information security management systeem (ISMS) volgens NEN-EN-ISO/IEC ISO 27001 of gelijkwaardig.

Informatiebeveiligingsbeheersysteem6 Door het ondertekenen van het ‘Uniform Europees Aanbestedingsdocument’ verklaart Inschrijver: • dat de onderneming van Inschrijver bij inschrijving en gedurende de uitvoering van de Raamovereenkomst beschikt over een geldige ISO-27001-certificering, dan wel over maatregelen die aantoonbaar gelijkwaardig zijn aan de norm ISO 27001.

Onder gelijkwaardig wordt verstaan dat Inschrijver maatregelen heeft getroffen die, in vergelijking met de norm ISO 27001, op alle onderdelen een objectief vergelijkbaar niveau van duurzame risicobeheersing bieden.

Normenkader Wederpartij richt de Informatiebeveiliging in overeenkomstig de volgende normen en kaders: Baseline Informatiebeveiliging Overheid 2 (BIO2), aangevuld met: [per contract in te vullen, bijvoorbeeld: NEN-EN-ISO/IEC 27001, NEN-EN-ISO/IEC 27002, NEN 7510 of andere sectorspecifieke normen] Toelichting: Legt vast tegen welk normenkader wordt ingericht én getoetst (vgl.

Artikel 12 | Toegankelijkheid 12.1De aangeboden oplossing voldoet aan de toegankelijkheidseisen van WCAG 2.2 niveau AA, zoals opgenomen in EN 301 549.

De voorwaarden van deze overeenkomst blijven van toepassing, met dien verstande dat voor de websites in ieder geval aanvullend gelden: de GIBITvoorwaarden, de meest actuele VNG-standaardverwerkersovereenkomst, hosting binnen Nederland op een ISO 27001-gecertificeerde omgeving, een beschikbaarheid van ten minste 99,8% op jaarbasis, een RTO van maximaal 12 uur en een RPO van maximaal 1 uur, toegankelijkheid conform WCAG 2.2 niveau AA en EN 301 549, en oplevering na een geslaagde functionele en gebruikersacceptatietest. Waar deze aanvullende eisen afwijken van de overeenkomst, prevaleren zij voor de websites.

De voorwaarden van deze overeenkomst blijven van toepassing, met dien verstande dat voor de websites in ieder geval aanvullend gelden: de GIBITvoorwaarden, de meest actuele VNG-standaardverwerkersovereenkomst, hosting binnen Nederland op een ISO 27001-gecertificeerde omgeving, een beschikbaarheid van ten minste 99,8% op jaarbasis, een RTO van maximaal 12 uur en een RPO van maximaal 1 uur, toegankelijkheid conform WCAG 2.2 niveau AA en EN 301 549, en oplevering na een geslaagde functionele en gebruikersacceptatietest. Waar deze aanvullende eisen afwijken van de overeenkomst, prevaleren zij voor de websites.

Technische en beroepsbekwaamheid Certificering Geschiktheidseis 2 De inschrijver moet beschikken over een geldig ISO 9001 certificaat of alternatief bewijsmiddel, mits dat door een erkende en onafhankelijke certificerende instelling is getoetst. Geschiktheidseis 3 De inschrijver moet beschikken over een geldig ISO 27001 certificaat of een aantoonbaar gelijkwaardig, onafhankelijk getoetst assurancerapport, zoals een ISAE 3000- of ISAE 3402 Type II-verklaring, mits dat door een erkende en onafhankelijke instelling is getoetst. Indienen bij inschrijving: Door middel van het invullen en indienen van Deel IV van het UEA verklaart inschrijver dat de inschrijver voldoet aan de gestelde certificering. Indien inschrijver zich beroept op gelijkwaardigheid, dient dit in de inschrijving aangegeven te worden en zal de aanbestedende dienst deze gelijkwaardigheid toetsen.