TenderNed Standaardenmonitor

Fase: Inschrijffase Inschrijfronde: Inschrijfronde 1 Vragenronde: Vragenronde 2 Beantwoord op: 14 apr 2026 Percelen: P1 Software OBCP Ref.nr. Onderwerp: 7 ISO 27001 compliance Vraag: In het bestek wordt gesteld dat de inschrijver dient te beschikken over een informatiebeveiligingsmanagementsysteem conform ISO 27001:2022 of gelijkwaardig.

Meer specifiek: - Welke vormen van bewijsvoering worden als voldoende beschouwd indien geen ISO 27001- Nota van inlichtingen TN-574729 - 14 apr 2026 Pagina 2 van 2 certificering aanwezig is?

Het is daarbij wél van belang dat Inschrijver aantoont dat minimaal conform de normen van ISO 27001:2022 gewerkt wordt.

eis(en): V&V-voorwaarden: V&V-moment: Realisatiefase: Definitief Ontwerp (DO) Type V&V-methode: Documentbeoordeling / Documentinspectie / Review Toelichting op aanpak V&V: Van elk aan te sluiten apparaat op het RWS netwerk is bekend en vastgelegd dat het kan werken met IPv6 SYS-03000 LAN Aansluiting - Toepassen Internet protocol v4 Geldigheidsperiode(s): G Herkomst-ID: IVN_0040 Eindsysteem aangesloten op LAN Aansluiting dient gebruik te maken van Internet Protocol (IP) v4.

eis(en): V&V-voorwaarden: V&V-moment: Realisatiefase: Definitief Ontwerp (DO) Type V&V-methode: Documentbeoordeling / Documentinspectie / Review Toelichting op aanpak V&V: Van elk aan te sluiten apparaat op het RWS netwerk is bekend en vastgelegd dat het kan werken met IPv6 SYS-03000 LAN Aansluiting - Toepassen Internet protocol v4 Geldigheidsperiode(s): G Herkomst-ID: IVN_0040 Eindsysteem aangesloten op LAN Aansluiting dient gebruik te maken van Internet Protocol (IP) v4.

Twee management systemen inrichten en erop nahouden voor een (overheid)organisatie is ondoenlijk en uitgaande van de overheidssituatie dat een overheidsorgaan altijd de kantooromgeving als thuisbasis heeft van waaruit andere activiteiten worden ontplooid, ligt het meer voor de hand om de BIO en het bijbehorende ISMS (eigenlijk het zuivere ISO 27001 framework) als basis te gebruiken voor het management systeem en deze te vullen met de relevante controls en maatregelen uit de IEC 62443 maar ook uit andere bronnen om de risico’s binnen het werkveld van IA te kunnen mitigeren.

BIO IEC 62443 Baseline beveiliging IA/PA/OT CSIR 2.0 Stap 2 BIO/ISO 27001 controls linken aan CSIR en verantwoorden Pagina 8 van 139 RWS INFORMATIE |Cybersecurity Implementatierichtlijn Objecten | 23 april 2021 Om te kunnen bepalen of de Baseline beveiliging IA toereikend is of dat er nog meer aanvullende maatregelen moeten worden getroffen bovenop de baseline beveiliging IA dient altijd een risicoanalyse en afweging gemaakt te worden voor het definiëren van de plus set aan maatregelen boven op de baseline beveiliging IA.

Bron: NEN-ISO/IEC 27001 (nl) Informatietechnologie - Beveiligingstechnieken - Managementsystemen voor informatiebeveiliging - Eisen (ISO/IEC 27001:2017 en,IDT) Pagina 98 van 139 RWS INFORMATIE |Cybersecurity Implementatierichtlijn Objecten | 23 april 2021 Attribuut Definitie Schrijfwijze Object ID Invullen door RWS Bron ID (Uniek ID zoals geregistreerd bij opdrachtnemer) Plaats Waar kan de beheerdocumentatie worden gevonden?

Vanuit het project zijn daarnaast de volgende aanvullende uitgangspunten gesteld:  met de areaalgegevens moet goed beheer en onderhoud mogelijk zijn;  afhankelijk van de mate van impact door de werkzaamheden op de verschillende objecten uit de decompositie worden de desbetreffende areaalgegevens verbeterd; o objecten die vervangen worden krijgen areaalgegevens volgens de actuele voorschriften zoals NLCS en Tolgi; o van aan te passen/te handhaven objecten worden de bestaande areaalgegevens bijgewerkt om het uitgevoerde Werk vast te leggen, d.w.z. wijzigingen vastleggen in de bestaande DWG (waar deze ontbreken kunnen aantekeningen PDF of andere vastlegging worden voorgesteld);  gezien de impact van het project op de elektrotechnische installaties dienen voor alle elektrotechnische objecten, ongeacht de impact op het object, ALLE areaalgegevens volgens de actuele voorschriften zoals NLCS en Tolgi te worden opgeleverd, waarbij ook de coderingen moeten worden aangepast in de installaties (van de elektrotechnische installaties worden op deze wijze volledig nieuwe areaalgegevens aangemaakt);  van bestaande aan te passen DWG tekeningen dienen de XREF ondergronden “ingebonden” te worden zodat de bruikbaarheid van deze tekeningen wordt verbeterd (mede vanwege de door het project aan te passen ruimte indelingen/plattegronden);  uit de documenttypetabel zijn documenten geselecteerd die door het project in de voorbereidingsfase als relevant zijn benoemd waarvan de omvang als maatvoerend wordt beschouwd voor de op te leveren documenten;  met een Excel is op basis van enkele criteria (o.a. discipline, impact) de omvang van de in Meridian/Ultimo op te leveren areaalgegevens per object vastgelegd, een uitdraai van deze Excel is als onderdeel van deze toelichting toegevoegd;  opslag documenten in Merdian o binnen het project dienen alle gegevens te worden geordend in de objectenboom (=decompositie).

o voor nieuwe tekeningen worden de eisen gehanteerd die vanuit de Tolgi, NLCS en/of andere voorschriften (bijv Metadata) worden gesteld.

Bestaande tekeningen in RTW, die wijzigen door het Werk, dienen omgezet te worden naar NLCS.

Vereiste Weerstandsniveau 1 2 3 4 CT1 Bij inzet van versleuteling (cryptografie) dient de gekozen versleuteling en de onderliggende algoritmes en instellingen uitsluitend de duiding “goed” te hebben zoals aangegeven in de meest actuele versie van het NCSC document “Richtlijnen voor Transport Layer Security”.

Indien het Systeem geen veilig communicatieprotocol ondersteunt dan mag enkel gemotiveerd en na goedkeuring door de Opdrachtgever het X X X X Pagina 24 van 139 RWS INFORMATIE |Cybersecurity Implementatierichtlijn Objecten | 23 april 2021 onveilige communicatieprotocol worden ingezet, mits er een additioneel versleuteld kanaal wordt toegepast (SSL, TLS, IPSEC etc.). De gekozen versleuteling en de onderliggende algoritmes en instellingen dienen dan uitsluitend de duiding “goed” te hebben zoals aangegeven in de meest actuele versie van het NCSC document “Richtlijnen voor Transport Layer Security”.

Niet alleen de logserver dient te worden geconfigureerd op een tijdserver, maar ook alle aangesloten componenten zoals PLC’s welke logregels genereren op de logserver; l. Indien mogelijk dient Transport Layer Security (TLS) via TCP op poort 6514 gebruikt te worden (RFC 5425).

Er is geen koppeling tussen het Cameratoezichtsysteem en de cloud-omgeving. Bijlage B Programma van Eisen v1.0 pagina 21 van 58 eis -53 De ICT-Prestatie blijft voldoen aan de meest actuele NCSC richtlijnen voor wat betreft de ICTbeveiligingsrichtlijnen voor webapplicaties, TLS, Mobile apps en HTTPS.

eis -95 De Camera ondersteunt de protocollen DNS, DDNS, HTTPS, TLS1.3, NTP, SNMPv3, Syslog.

4.2 Algemene beveiligingseisen aan alle Camera’s eis -102 Toegang tot de Camera vindt plaats via een veilig protocol (bijv. HTTPS, SFTP, SSH).

Vanwege het vertrouwelijke karakter dient een Ondernemer vooraf aan te tonen in het bezit te zijn van een geldig ISO 27001- certificaat en de Genetec certificaten genoemd onder 4.3.4 punt A. Met het indienen van de geldige certificering gaat u akkoord met het vertrouwelijk behandelen van het gemaakte beeldmateriaal, deze niet buiten uw organisatie te verspreiden en te vernietigen binnen vier weken na definitieve gunning indien de opdracht niet aan uw organisatie wordt gegund.

Vereiste bijlagen bij Inschrijving en bewijsstukken bij verificatie: Bij interesse Bij Inschrijving Bij verificatie A. De documenten bedoeld in paragraaf 4.3.4 punt A X 14 10603 Implementatie, beheer en onderhoud en aanpassingen cameratoezichtsysteem Vereiste bijlagen bij Inschrijving en bewijsstukken bij verificatie: Bij interesse Bij Inschrijving Bij verificatie B. Een bewijsstuk van bedrijfscertificaat ISO 27001 of gelijkwaardig X C. Het volledig ingevulde Uniform Europees Aanbestedingsdocument X D. Prijzenblad met rechtsgeldige ondertekening X E. Invulformulier referenties kerncompetenties ingevuld en rechtsgeldig ondertekend X F. Implementatieplan en onderhoudsplan conform paragraaf 4.7 X G. Verklaring Russische betrokkenheid X H. Een recent uittreksel uit het handelsregister van de Kamer van Koophandel.

B. ISO-27001 of gelijkwaardig: Informatiebeveiligingsmanagementsysteem (ISMS) De Inschrijver beschikt over een aantoonbaar en gecertificeerd Informatiebeveiligingsmanagementsysteem (ISMS) dat voldoet aan de norm ISO 27001.

Eis De inschrijver: ● beschikt over een informatiebeveiliginssysteem dat ten minste gelijkwaardig is aan ISO 27001 Indien de inschrijver tevens werkzaamheden uitvoert waarbij fysieke montage of transport op locatie van toepassing is, geldt aanvullend dat hij dient te beschikken over een veiligheids- of arbomanagementsysteem dat ten minste gelijkwaardig is aan ISO 27001, of kan aantonen dat deze aspecten zijn geïntegreerd in het eigen bedrijfsmanagement.

De leverancier toont voorafgaand aan gunning en jaarlijks tijdens de looptijd aan te (laten) voldoen aan een erkend normenkader voor informatiebeveiliging (bijv. ISO 27001) of overlegt een gelijkwaardig, actueel auditrapport (bijv. ISAE 3402 type II).

De door Verwerker ingeschakelde Subverwerkers zijn: Subverwerker (naam incl. plaats van vestiging) Persoonsgegevens die Subverwerker verwerkt Omschrijving van de reden voor de subverwerking Land van verwerking en relevant doorgifte-instrument De doorgiften naar derde landen bij de Verwerking zijn: Doorgifte naar derde landen (naam partij + welk derde land) Doel doorgifte (kostenbesparingen, schaalvoordelen of beveiligingsverbeteringen) Doorgifte-instrument Aanvullende maatregelen naar aanleiding van een doorgifte aan een derde land (indien van toepassing) Contactgegevens: Algemene contactgegevens Naam Functie E-mailadres Telefoonnummer Verwerkingsverantwoordelijke Verwerker Datum bijlage: [DATUM] Bijlage B: Beveiligingsmaatregelen HIER ZIJN 2 OPTIES MOGELIJK, KEUZE IS VEREIST OPTIE 1: Als Verwerker beschikt over certificaten die afdoende zijn Verwerker beschikt over de volgende geldige certificaten of verklaringen van een deskundige derde waaruit blijkt dat Verwerker voldoet aan zijn verplichting de Persoonsgegevens die hij ten behoeve van Verwerkingsverantwoordelijke verwerkt adequaat te beveiligen: Naam of nummer Toepassingsgebied Geldigheidsduur bijv. ISO 27001, NEN 7510, SOC 2 Verwerker draagt ervoor zorg dat hij gedurende deze Verwerkersovereenkomst blijft beschikken over bovenstaande certificaten of een gelijkwaardige opvolger daarvan met een nieuwe geldigheidsduur.

Deze bepaling geldt onverminderd de eisen en maatregelen uit NEN7510, ISO 27001, 27701 en 27799 en de AVG.

Leverancier toont op verzoek aan welke Ketenpartijen worden ingezet, met hun beveiligingscertificeringen/assurance (bijv. ISO 27001, NEN7510, ISAE 3402/SOC 2).

UMC kan jaarlijks of bij (bijna-)Beveiligingsincident assurance-rapportages opvragen (bijv. ISO 27001 of NEN7510 certificaten, ISAE 3402/SOC 2-rapporten, pen-/securitytest-samenvattingen).

 Verwerker voldoet aan de Inkoopeisen Cybersecurity Overheid: de ICO-Wizard  Verwerker is gecertificeerd volgens ISO27001  Verwerker heeft informatiebeveiliging conform ISO 27001 ingericht  Verwerker werkt aan de implementatie van informatiebeveiliging volgens ISO27001 met als uiterlijke datum waarop de implementatie gereed is/...datum.../.......

ISO 27001:2022...............................................................................................................

EUA Operational Lease Wagenpark HDSR 11 Document Verwijzing Ondertekend door rechtsgeldig bevoegd persoon Moment van aanleveren Bij inschrijving Bij inschrijving (optioneel) of anders binnen 5 dagen na voorlopige gunning Inschrijfbiljet Bijlage 4, 2.5, 5.2 X X Beantwoording kwalitatieve gunningscriteria 2.5, 5.3 X Volmacht (indien van toepassing) Bijlage 5, 2.5, 5.2 X X UEA (Uniform Europees Aanbestedingsdocument) via TenderNed 2.5, 2.7, 3.1.1, 3.1.2 X X Verklaring Verordening (EU) 2022/576 (Rusland-verklaring) Bijlage 6a, 2.5, 3.1.3 X X Referenties voor kerncompetenties Bijlage 7, 2.5, 3.4 X X Tevredenheidsverklaring 3.4 Ondertekend door opdrachtgever X Online (berijders) portal/ app 3.5.3 X Gedragsverklaring aanbesteden (het bewijs mag niet ouder zijn dan twee jaar op het moment van indienen van de inschrijving) 3.1.2 X Uittreksel KvK (het bewijs mag niet ouder zijn dan zes maanden op het moment van indienen van de Inschrijving) 3.2 X Verklaring betalingsgedrag nakoming fiscale verplichtingen (het bewijs mag niet ouder zijn dan zes maanden op het moment van indienen van de Inschrijving) 3.1.1 X Kopie polis bedrijfsverzekering 3.3.1 X Goedkeurende accountantsverklaring 3.3.3 X Kopie certificaat ISO 9001:2015 3.5.1 X Kopie certificaat ISO 27001:2022 3.5.2 X Lid van Vereniging van Nederlandse Autoleasemaatschappijen (VNA) 3.5.4 X Inschrijving KVK SBI code 77112 3.5.5 X EUA Operational Lease Wagenpark HDSR 12 2.7.

Verwerker beschikt over ISO 27001-certificering, vergelijkbare certificering of werkt aantoonbaar in overeenstemming met ISO 27001 en heeft een passend, geschreven beveiligingsbeleid geïmplementeerd voor de verwerking van Persoonsgegevens, waarin in ieder geval de in het eerste lid van dit artikel 4 genoemde maatregelen uiteengezet zijn.

Indien Verwerker beschikt over relevante certificering wat betreft informatiebeveiliging (ISO 27001 en voor zorgprocessen aangevuld met NEN 7510), verzoeken wij kopieën hiervan als bijlage toe te voegen en daarbij tevens de bijbehorende Verklaring van Toepasselijkheid (VvT) (welke maatregelen zijn er wel of niet geïmplementeerd?)

Verwerker beschikt over de volgende certificering (kopieën, VvT en scopebeschrijving zijn bijgevoegd als bijlage bij deze Verwerkersovereenkomst): Beschikt Verwerker niet over relevante certificering of beschikt Verwerker over een certificaat afgegeven door een certificerende instelling zonder accrediteringsverklaring van de Raad voor Accreditatie dan kan Verwerker met een Third Party Memorandum (TPM)1 aantonen dat Verwerker werkt in overeenstemming met de ISO 27001 en wanneer van toepassing de NEN 7510.

Informatieveiligheid: NEN ISO 27001 certificering of gelijkwaardig door bedrijfsdocumenten en procedures, waaruit dat blijkt dat zowel leidinggevend als uitvoerend personeel hiermee bekend is.

De hier genoemde authenticatie dient plaats te vinden conform erkende en afdwingbare industrie standaarden, zoals SAML 2.0 en/of OpenID Connect.

Architectuur programmatuur # EIS 7.1 E-mailberichten die via de programmatuur namens de EUR worden verstuurd, dienen gebruik te maken van een door de Opdrachtnemer beheerde mailserveromgeving. Deze mailserveromgeving dient volledig te voldoen aan de verplicht gestelde standaarden voor e -mailbeveiliging, zoals opgenomen in de ‘Pas toe of leg uit’-lijst van het Forum Standaardisatie (SPF, DKIM, DMARC).

Architectuur programmatuur # EIS 7.1 E-mailberichten die via de programmatuur namens de EUR worden verstuurd, dienen gebruik te maken van een door de Opdrachtnemer beheerde mailserveromgeving. Deze mailserveromgeving dient volledig te voldoen aan de verplicht gestelde standaarden voor e -mailbeveiliging, zoals opgenomen in de ‘Pas toe of leg uit’-lijst van het Forum Standaardisatie (SPF, DKIM, DMARC).

Certificaten worden uitgegeven middels een vertrouwde certificeringsinstantie e n voldoen aan actuele veiligheidsstandaarden, waaronder https met minimaal TLS 1.2+, DNSSEC voor beveiligde DNS -resolutie en e en CAA -record dat uitsluitend expliciet goedgekeurde certificeringsinstanties toestaat.

Yes/No question - KO Yes No KO Bijlage 6A Use cases Acquisitie module v1.0(16306336).pdf Bijlage 6C Use cases Uitleen module v1.0(16306335).pdf Bijlage 8 Geschiktheidseis 3 ervaring van de Inschrijver v1.0(16306337).docx Bijlage 6D Use cases Zoek module v1.0(16306338).pdf Bijlage 6B Use cases Rapportage module v1.0(16306339).pdf Bijlage 9 Prijzenblad v1.0(16306340).xlsx Bijlage 7B Algemene Rijksinkoopvoorwaarden bij IT-overeenkomsten (ARBIT)(16306341).pdf Bijlage 10A 20260701 UB BMS - IST(16306342).pdf Bijlage 7A Concept Verwerkersovereenkomst v1.0(16306343).pdf Bijlage 10B 20260701 UB BMS - SOLL(16306344).pdf Bijlage 11 Eigen verklaring sancties Rusland(16306345).doc Bijlage 12 Geschiktheidseis ISO 27001(16306346).pdf Bijlage 6 Programma van Eisen v1.0(16306347).pdf Bijlage 7 Concept Overeenkomst Bibliotheekmanagementsysteem v1.0(16306348).pdf Bijlage 3 Toelichting gebruik Mercell(16306430).pdf Bijlage 1 Definities(16306431).pdf Bijlage 2 Voorwaarden aanbestedingsprocedure(16306432).pdf Bijlage 5 Wijze van Inschrijven en rechtsgeldige ondertekening(16306433).pdf Beschrijvend document EA Openbaar v1.0(16306434).pdf Bijlage 4 Volmacht rechtsgeldig vertegenwoordiger(16306458).doc 1.2.

2 Managementsysteem voor informatiebeveiliging Als geschiktheidseis geldt dat u - op de sluitingsdatum voor het indienen van een Inschrijving voor de onderhavige aanbesteding - beschikt over een certificering voor een managementsysteem voor informatiebeveiliging conform ISO 27001 of gelijkwaardig.

In Bijlage 12 Geschiktheidseis ISO 27001 is opgenomen welke beheersmaatregelen van toepassing zijn.

De data ‘at rest’ dient versleuteld te zijn conform AES - 256 of een vergelijkbare standaard, de data ‘in transit’ dient versleuteld te zijn confor m TLS 1.2+ of vergelijkbaar.

Certificaten worden uitgegeven middels een vertrouwde certificeringsinstantie e n voldoen aan actuele veiligheidsstandaarden, waaronder https met minimaal TLS 1.2+, DNSSEC voor beveiligde DNS -resolutie en e en CAA -record dat uitsluitend expliciet goedgekeurde certificeringsinstanties toestaat.

IV.5.08 Indien de SAAS applicatie mail namens gemeente Delft of haar klanten stuurt, wordt voldaan aan de volgende standaarden: DKIM, SPF, DMARC, STARTTLS en DANE.

Hierbij wordt het DKIM key management bij voorkeur door de 3rd party mailer gedaan door middel van het gebruik van een DKIM CNAME DNS constructie in de DNS zone van het sender domain.

IV.5.08 Indien de SAAS applicatie mail namens gemeente Delft of haar klanten stuurt, wordt voldaan aan de volgende standaarden: DKIM, SPF, DMARC, STARTTLS en DANE.

De integratie laag bestaat (p.a.) uit een XML-gateway met o.a. ontsluiting van DigiD en e-Herkenning, ESB, Digikoppeling en sFTP oplossing. Als het netwerk van de gemeente Delft als bron, doel of intermediair is betrokken bij een koppeling, dan moet gebruik gemaakt worden van de componenten van de integratie laag, tenzij anders overeengekomen.

IV.1.05 Leverancier is NEN/ISO 27001, NEN7510, PCI/DSS of aantoonbaar gelijkwaardig gecertificeerd op de geleverde diensten aan gemeente Delft.

IV.5.08 Indien de SAAS applicatie mail namens gemeente Delft of haar klanten stuurt, wordt voldaan aan de volgende standaarden: DKIM, SPF, DMARC, STARTTLS en DANE.

IV.8.03 De applicatie met haar koppelingen voldoet aan de gestelde eisen binnen de volgende documenten: - National Cyber Security Center (NCSC), met als aanvulling dat de verbindingen worden opgezet op basis van TLS 1.2 of hoger; - De ICT kwaliteitsnormen behorende bij de GIBIT; - Baseline Informatiebeveiliging Overheid (BIO).