TenderNed Standaardenmonitor

Wederpartij installeert en implementeert de ICT-Oplossing conform de norm ISO 27001 (of gelijkwaardig) - voor zover noodzakelijk - deze ontwikkelen en onderhouden en beschikbaar voor het Beoogde Gebruik houden conform de laatste versies van de normen OWASP respectievelijk de ICT-Beveiligingsrichtlijnen vanuit het NCSC (of gelijkwaardig).

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

193 perceel 1 en 2 Vraag 106 / Bijlage 6 - Programma van eisen - 8.4 PvE eis 8.4 vraagt SSO via SAML met Entra ID via SURFconext.

8.4 De ICT Prestatie beschikt over Single Sign-On voor Gebruikers op basis van een SAML met Entra ID van Opdrachtgever of SURFconext.

106 perceel 1 en 2 Bijlage 6 - Programma van eisen - 8.4 Eis 8.4 stelt dat de ICT Prestatie beschikt over Single Sign-On voor Gebruikers op basis van een SAML koppeling met Entra ID van Opdrachtgever via SURFconext.

7.3 De ICT Prestatie voldoet uiterlijk 1 augustus 2027 minimaal aan de eisen volgens WCAG 2.1 niveau AA.

Zo nee graag uw toelichting. Opdrachtgever eist dat de ICT Prestatie voldoet aan de WCAG 2.1 AA norm die sinds 2018 van kracht is (https://wetten.overheid.nl/BWBR0040936/2018-07-01 opgegaan in https://wetten.overheid.nl/BWBR0048156/2025-11-11).

8.7 De ICT Prestatie gebruikt de laatste HTTPS-technieken.

Het uitsluiten van partijen die aantoonbaar werken volgens de ISO 27001-standaarden, maar (nog) niet over het formele certificaat beschikken of gebruikmaken van een onafhankelijk assurance-rapport (zoals ISAE 3402 of een SOC2- verklaring), beperkt de mededinging op onredelijke wijze.

Is de aanbestedende dienst bereid paragraaf 6.3.3 aan te passen, zodat de inschrijver de naleving van de informatiebeveiligingsstandaarden ook op andere, gelijkwaardige wijze aantoonbaar mag maken (bijvoorbeeld door middel van een onafhankelijk auditrapport of een gedetailleerde zelfverklaring met bewijsstukken), in plaats van uitsluitend een formeel ISO 27001-certificaat?

152 perceel 1 en 2 ISO27001-versie U verwijst in diverse documenten naar ISO 27001:2023.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

3 De oplossing voldoet aantoonbaar zoveel mogelijk aan de Europese standaard EN 301 549 met WCAG 2.1 niveau AA.

Informatiebeveiliging Inschrijver beschikt uiterlijk op de uiterste datum voor het indienen van de Inschrijving over een geïmplementeerd en onafhankelijk gecertificeerd managementsysteem voor informatiebeveiliging dat voldoet aan ISO/IEC 27001:2022 of een gelijkwaardige norm.

Bewijsmiddel in te dienen binnen 10 kalenderdagen na verzoek Aanbestedende dienst: ● Een geldig ISO/IEC 27001:2022-certificaat, afgegeven door een daartoe geaccrediteerde certificerende instelling, inclusief de bijbehorende scopeverklaring; of ● een gelijkwaardig certificaat, inclusief een toelichting waaruit de gelijkwaardigheid en toepasselijke scope blijken.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

De BIO2 is gebaseerd op de laatste versie van de ISO 27001 en de ISO 27002.

Informatiebeveiliging en privacy 1 Verkeer met data of gegevens en/of toegang tot gegevens vindt uitsluitend plaats via een veilige verbinding via TLS 1.2 of hoger.

(Indien u niet in het bezit bent van een ISO 27001 certificaat).

De BIO sluit aan op de actuele, internationale standaard voor informatiebeveiliging (NEN-ISO/IEC 27001).

39 Beschrijvend document constructiesoftware Wft – DUO-EURAAN-JA-IUCN25100274 3 van 40 Bijlagen Door u in te dienen bij inschrijving Verplicht bij inschrijving Invulformulieren Invulformulier 1 Inschrijfbiljet Ja Invulformulier 2 Prijzenblad Ja Invulformulier 3 URL testomgeving praktijktest Ja Invulformulier 4 Referentieverklaring Ja Invulformulier 5 Verklaring Onderaanneming Alleen indien van toepassing Invulformulier 6 Machtigingsformulier rechtsgeldige vertegenwoordiging bij ondertekening Invulformulier I -Inschrijfbiljet Alleen indien van toepassing Invulformulier 7 Verklaring financiële en technische garantstelling concern Ja Invulformulier 8 Verklaring geen Russische betrokkenheid Ja Invulformulier 9 Verklaring beroep op andere entiteit (om te voldoen aan een geschiktheidseis) Alleen indien van toepassing Overige stukken UEA Uniform Europees Aanbestedingsdocument (UEA) via de UEA-wizard in TenderNed in PDF-format voor inschrijver/penvoerder Ja Bewijsstuk 1 Recent uittreksel(s) uit beroeps- en handelsregister niet ouder dan zes maanden Ja Via pdf-bestanden Uw uitwerking van het programma van wensen Ja Bewijsstuk 4 Beroepsaansprakelijkheidsverzekering Ja Bewijsstuk 5 ISO 27001 of gelijkwaardig Ja Indienen bij verificatie UEA van de winnende inschrijver(s) Bewijsstuk 2 Gedragsverklaring aanbesteden (niet ouder dan twee jaar) Bewijsstuk 3 Verklaring van de Belastingdienst (niet ouder dan zes maanden) Overzicht bijbehorende documenten Bijlage 1a Programma van eisen (PvE) Bijlage 1b Programma van eisen-uitvoeringseisen Bijlage 2 Omschrijving praktijktest-onderdeel programma van eisen Bijlage 3 Programma van wensen (PvW) Bijlage 4a Format invulling PvW kwaliteitscriterium 1 (G1) Bijlage 4b Format invulling PvW kwaliteitscriterium 2 (G2) Bijlage 4c Format invulling PvW kwaliteitscriterium 3 (G3) Bijlage 4d Format invulling PvW kwaliteitscriterium 4 (G4) Bijlage 5 Concept Dienstverleningsovereenkomst Bijlage 6 Concept Verwerkersovereenkomst Bijlage 7 ARBIT-2022 Bijlage 8 Begrippenlijst Bijlage 9 Brochure e-factureren Rijksoverheid Bijlage 10 Financiële bijsluiter e-facturatie 2023 DUO Bijlage 11 Verslag marktconsultatie Beschrijvend document constructiesoftware Wft – DUO-EURAAN-JA-IUCN25100274 4 van 40 1.

Verder werden genoemd: -ISO 9001 -ISO 27017 -ISO 27018 -ISO 27002 -1EDTECH QTI v3.0 6.

Koppeling Uitvoeringseis 1 Het product wisselt via de EDU koppeling gegevens uit met de opdrachtgever middels: -Uitwisseling vindt plaats uitsluitend via een mTLS verbinding. (tenmiste TLS 1.2 of TLS 1.3) -In de uitwisseling vindt identificatie uitsluitend met PKIo certificaten plaats.

SSO integration design; configuration showing use of OpenID Connect, SAML 2.0 or domain join; test reports for SSO login flows; documentation of trust relationships with Enexis IdP(s); screenshots/logs of successful SSO authentication.

Must 75 Support The application must support single sign‐on (SSO) for users using at least one of the following standards: OpenID Connect (OIDC), SAML 2.0 or domain join (domain join only for non‐SaaS scenarios).

Must 77 Support If SAML is used for SSO, the supplier must configure automatic certificate roll‐over by regularly retrieving and applying updated metadata from the identity provider, and must handle changes to SAML metadata and certificates through the change management process.

Aanvragen 2-5 Het portaal ondersteunt de handmatige intekening van projectgebieden, alsmede de geautomatiseerde (bulk)upload van projectgebieden via minimaal de bestandsformaten [GeoJSON, DXF, DWG, GeoPackage, Shapefile en XML].

Daarnaast ondersteunt het portaal blijkens eis 2-5 de handmatige intekening en de geautomatiseerde (bulk)upload via minimaal GeoJSON, DXF, DWG, GeoPackage, Shapefile en XML, en blijkens eis 2-14 het in een keer inlezen van niet-aaneengesloten traces.

Welk XML-schema bedoelt u: GML, SIKB0101, iets anders?

En telt hosting bij een ISO 27001-gecertificeerde cloudprovider, samen met het certificaat van de inschrijver voor de eigen organisatie, als dekking van de "fysieke locaties"?

Planning op hoofdlijnen ▪ Informatiebijeenkomst: donderdag 10 september 2026, 15:00 – 16:00 uur ▪ Vragen stellen tot uiterlijk: vrijdag 18 september 2026 ▪ Indienen Aanmelding voor: maandag 12 oktober 2026 (09:00 uur) ▪ Beoordelen Aanmeldingen (incl. verificatie bewijsstukken): 12 t/m 15 oktober 2026 ▪ Selectiebeslissing (toelating tot dialoogfase): vrijdag 16 oktober 2026 (alleen Gegadigden die geschikt zijn bevonden, worden uitgenodigd voor de dialoog) Gunningsbeslissing: volgt ná de dialoog- en inschrijvingsfase (naar verwachting vrijdag 12 februari 2027) Eisen aan de inschrijvers ▪ Inschrijving in het nationale beroeps- of handelsregister (KvK) ▪ ISO 9001:2015 (Kwaliteitsmanagement) en ISO 27001 (Informatiebeveiliging), geldig voor de locatie(s) waar de werkzaamheden worden uitgevoerd, of aantoonbaar gelijkwaardig, dan wel een aantoonbaar lopend certificeringstraject (zie GE-4 en GE-5) ▪ Bedrijfsaansprakelijkheidsverzekering (min. € 2.500.000) én beroepsaansprakelijkheidsverzekering (min. € 1.000.000) Enexis Personeel B.V. – Selectieleidraad Zelfscan as a Service – Conditionerende onderzoeken Pagina 4 van 28 ▪ Twee kerncompetenties: (1) SaaS-platform en IT-integratie, aan te tonen met maximaal twee referentieopdrachten die gezamenlijk de gevraagde elementen afdekken; (2) inhoudelijke expertise conditionerende onderzoeken, aan te tonen met maximaal één referentieopdracht.

▪ Prijs (TCO): n.v.t. in de aanmeldfase — er wordt geen prijs gevraagd bij de Aanmelding Bijlagen bij deze Selectieleidraad ▪ Bijlage 1 – Uniform Europees Aanbestedingsdocument (UEA) ▪ Bijlage 2 – Referentieverklaring ▪ Bijlage 3 – Concept Programma van Eisen ▪ Bijlage 4 – Concept NFR-Architectuur ▪ Bijlage 5 – Concept KPI-set ▪ Bijlage 6 – Samenvatting Marktconsultatie ▪ Bijlage 7 – Enexis Gedragscode voor Leveranciers (Supplier Code of Conduct) ▪ Bijlage 8 – Ruslandverklaring ▪ Bijlage 9 – Toekomstvisie Conditionerende Onderzoeken Enexis ▪ Bijlage 10 – Combinatieverklaring ▪ Bijlage 11 – Holdingverklaring ▪ Bijlage 12 – Concept Governance en Rapportage ▪ Bijlage 13 – Concept SLA ▪ Bijlage 14 – Algemene Inkoopvoorwaarden Gezamenlijke Opdrachten Netbeheerders ▪ Bijlage 15 – Presentatie Informatiebijeenkomst In te dienen documenten ▪ Bijlage 1 – UEA, rechtsgeldig ondertekend ▪ KvK-uittreksel (niet ouder dan 6 maanden) — GE-1 ▪ Bewijs financiële en economische draagkracht (Graydonrapportage of gelijkwaardig kredietinformatierapport, óf accountantsverklaring) — GE-2 ▪ Bewijs bedrijfs- én beroepsaansprakelijkheidsverzekering — GE-3 ▪ Bewijs ISO 9001:2015-certificering (incl. scope/locatie) — GE-4 ▪ Bewijs ISO 27001-certificering (incl. scope/locatie) — GE-5 ▪ Verklaring gegevensbescherming en dataverwerking binnen de EER — GE-6 ▪ Bijlage 2 – Referentieverklaring(en) (max. twee voor kerncompetentie 1, max. één voor kerncompetentie 2; één referentieopdracht mag beide kerncompetenties afdekken) ▪ Verklaring betalingsgedrag Belastingdienst ▪ Verklaring m.b.t. sancties Rusland (Bijlage 8) ▪ Combinatieverklaring (Bijlage 10) indien van toepassing ▪ Holdingverklaring (Bijlage 11) indien van toepassing Enexis Personeel B.V. – Selectieleidraad Zelfscan as a Service – Conditionerende onderzoeken Pagina 5 van 28 DEFINITIES In deze Selectieleidraad hebben de onderstaande begrippen de volgende betekenis wanneer zij met een hoofdletter geschreven zijn: Naam of afkorting Omschrijving Aanbestedende Dienst Enexis Personeel B.V., mede handelend ten behoeve van de overige tot de groep behorende ondernemingen, waarbij Enexis Personeel B.V. als een speciale sectorbedrijf kwalificeert.

De exacte afbakening tussen background IP van Opdrachtnemer en de voor Opdrachtgever gegenereerde resultaten is onderwerp van de dialoogfase en wordt vastgelegd in de concept-(raam)overeenkomst. Fase: Aanmeldfase Inschrijfronde: - Vragenronde: Vragenronde 1 Nota van inlichtingen TN-609402 - 25 sep 2026 Pagina 21 van 160 Beantwoord op: 25 sep 2026 Percelen: P1 Zelfscan as a Service - Conditionerende Onderzoeken Ref.nr. Onderwerp: 35 Bijlage 3 - Concept Programma van Eisen, eis 5-3 "Data-uitwisseling met bevoegd gezag en Opdrachtgever geschiedt conform de vigerende SIKB0101 protocollen", pagina 7 van 9.

In welk formaat (SIKB0101?)

5-3 Data-uitwisseling met bevoegd gezag en Opdrachtgever geschiedt conform de vigerende SIKB0101 protocollen.

Must 54 Security & Privacy Cryptography All data in transit between clients, services and integrated systems that involve customer data must be protected using strong, up‐to‐date cryptographic protocols (for example TLS 1.2 or higher) and secure configurations (no weak ciphers, no deprecated protocols).

Daarmee wordt immers in combi met een geldige ISO 27001 certificering in beginsel invulling gegeven aan het bepaalde in (het 3 e gedachtestreepje van) paragraaf 3.2.5 van het Aanbestedingsdocument: “Indien inschrijver niet kan voldoen aan het leveren van het ISO 9001:2015 certificaat, of gelijkwaardig, dient inschrijver een beknopte beschrijving van de genomen maatregelen op gebied van kwaliteitsmanagement in te dienen.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

19 3.2.2 Technische bekwaamheid en beroepsbekwaamheid: ISO 27001 ............................................

Medewerker Authenticatie & SSO • SAML 2.0 of nieuwer • OIDC, OAUth 2.0 of nieuwer • RBAC • Least privilige • Vereist is een koppeling met de gemeentelijke, Entra ID op basis van een van de genoemde standaarden.

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Verbinding • HTTPS • HSTS • TLS 1.2 of nieuwer • DNSSEC • TLS 1.3 of nieuwer • IPv6 • Voor burgers en bedrijven toegankelijke voorzieningen moeten zowel via IPv4 als IPv6 bereikbaar zijn.

Kunt u toelichten welke standaarden en technieken u hanteert bij het ontwikkelen en onderhouden van deze koppelingen (zoals bijvoorbeeld iStandaarden, API’s, of Digikoppeling)?

Onder websites vallen ook intra- en extranetten en cloudapplicaties volgens de Europese definitie (zie https://www.digitoegankelijk.nl/wetgeving/specifieke-situaties/intranetten-extranetten-en-cloudapplicaties).

6.3 Normen en standaarden Nr. Standaard/norm Bronnen/referenties E1 Europese standaard EN 301 549 met WCAG 2.1 digitoegankelijk.nl en forumstandaardisatie.nl/standaard/ digitoegankelijk-en-301-549-met-wcag-21 6.4 Tips en toelichting 1.

Op digitoegankelijk.nl/wetgeving/wat-verplicht is beschreven welke verplichtingen gelden, o.a. voor het publiceren van een toegankelijkheidsverklaring. 3.

Verbinding • HTTPS • HSTS • TLS 1.2 of nieuwer • DNSSEC • TLS 1.3 of nieuwer • IPv6 • Voor burgers en bedrijven toegankelijke voorzieningen moeten zowel via IPv4 als IPv6 bereikbaar zijn.

8.3 Normen en standaarden Nr. Standaard/norm Bronnen/referenties G1 Aansluiten op voorzieningen uit de GDI Het overzicht van de GDI is gegeven op digitaleoverheid.nl/mido/generieke-digitaleinfrastructuur-gdi 22 G2 Aansluiten op gemeentelijke voorzieningen en afspraken: - Ondersteunen IPv6 - GGI Netwerk - Aansluiting op Gemeentelijk GegevensKnooppunt (GGK) - Nationaal Parkeer Register De GGI wordt onder regie van VNG Realisatie doorontwikkeld: https://vng.nl/artikelen/ gemeentelijke-gemeenschappelijkeinfrastructuur-ggi Richtlijnen voor IPv6 in ICT-apparatuur: forumstandaardisatie.nl/sites/ bfs/files/atoms/files/ripe-554-nl.pdf G3 Toepassen Haven binnen het werkingsgebied van deze standaard (zie ook toelichting hieronder) haven.commonground.nl/techniek/de-standaard 8.4 Tips en toelichting 1.

Verbinding • HTTPS • HSTS • TLS 1.2 of nieuwer • DNSSEC • TLS 1.3 of nieuwer • IPv6 • Voor burgers en bedrijven toegankelijke voorzieningen moeten zowel via IPv4 als IPv6 bereikbaar zijn.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

De Aanbestedende dienst moet met de voorgestelde oplossing volledig kunnen voldoen aan de Privacy-wetgeving (AVG), de Baseline Informatiebeveiliging Overheid (BIO) of ISO 27001 en Archiefwet.

Bewijs hiervan kan worden geleverd door het beschikken over een actueel bewijs van certificering conform ISO 27001 (of ISAE 3000).

10.3 Normen en standaarden Nr. Standaard/norm Bronnen/referenties I1 EN16931 en NLCIUS forumstandaardisatie.nl/openstandaarden/nlcius 10.4 Tips en toelichting 1.

NLCIUS is een aanvullende nationale specificatie op EN16931 voor toepassing in Nederland.

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Ten opzichte van de StUF-standaarden sluiten deze API-standaarden beter aan bij door softwareontwikkelaars gebruikte industriestandaarden.

Informatielaag 5 Voor de uitwisseling van gegevens is het gebruik van de meest actuele StUFstandaarden, waar deze bestaan en nog niet vervangen zijn door een API-standaard, verplicht.

Verbinding • HTTPS • HSTS • TLS 1.2 of nieuwer • DNSSEC • TLS 1.3 of nieuwer • IPv6 • Voor burgers en bedrijven toegankelijke voorzieningen moeten zowel via IPv4 als IPv6 bereikbaar zijn.

Europese aanbesteding Sociaal Domein Applicatie, gemeente Midden-Drenthe, zaaknummer 5014298 6 De Oplossing omvat diverse koppelingen en berichtenuitwisselingen: - met ketenpartners (o.a. iBerichten, DKD-uitwisseling, IB-berichten, CORV, CBS-leveringen); - met externe partijen ten behoeve van bedrijfsvoering (o.a. XBRL, SEPA); - met (generieke) voorzieningen in het applicatielandschap van Gemeente Midden-Drenthe (o.a. financieel Systeem, DocumentcreatieSysteem, DWH/BI, Makelaarsuite).

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Het domein ‘infrastructuur’ omvat onder andere de bouwstenen ‘Diginetwerk’, ‘Digikoppeling’ en ‘PKIoverheid’.

Onder websites vallen ook intra- en extranetten en cloudapplicaties volgens de Europese definitie (zie digitoegankelijk.nl/aan-de-slag/tips/intranetten).

6.3 Normen en standaarden Nr. Standaard/norm Bronnen/referenties E1 Europese standaard EN 301 549 met WCAG 2.1 digitoegankelijk.nl en forumstandaardisatie.nl/standaard/ digitoegankelijk-en-301-549-met-wcag-21 6.4 Tips en toelichting 1.

Op digitoegankelijk.nl/wetgeving/wat-verplicht is beschreven welke verplichtingen gelden, o.a. voor het publiceren van een toegankelijkheidsverklaring. 3.

Om te voorkomen dat websites en apparaten onbereikbaar worden is Internet Protocol versie 6 (IPv6) ontwikkeld.

Alle overheidsorganisaties moeten ook via IPv6 bereikbaar zijn.

Zie: digitaleoverheid.nl/mido/ generieke-digitale-infrastructuur-gdi/ domein-infrastructuur/ G2 Ondersteunen IPv6 Richtlijnen voor IPv6: forumstandaardisatie.nl/open-standaarden/ ipv6-en-ipv4.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS).

NLCIUS is een aanvullende nationale specificatie op EN16931 voor toepassing in Nederland.

10.3 Normen en standaarden Nr. Standaard/norm Bronnen/referenties I1 EN16931 en NLCIUS forumstandaardisatie.nl/openstandaarden/nlcius 10.4 Tips en toelichting 1.

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Ten opzichte van de StUF-standaarden sluiten deze API-standaarden beter aan bij door softwareontwikkelaars gebruikte industriestandaarden.