TenderNed Standaardenmonitor

20 Hoe ondersteunt de oplossing de gemeente bij het voldoen aan relevante wet- en regelgeving en beveiligingskaders, waaronder de AVG, Cyberbeveiligingswet, BIO2, ISO 27001 en ISO 27002?

Compliance en beveiligingsrichtlijnen De gemeente wil inzicht krijgen in de mate waarin beschikbare oplossingen aansluiten op relevante beveiligingsrichtlijnen en wet- en regelgeving, waaronder BIO2, CIS Controls, ISO 27001 en NIS2/Cbw.

20 Hoe ondersteunt de oplossing de gemeente bij het voldoen aan relevante wet- en regelgeving en beveiligingskaders, waaronder de AVG, Cyberbeveiligingswet, BIO2, ISO 27001 en ISO 27002?

20 Hoe ondersteunt de oplossing de gemeente bij het voldoen aan relevante wet- en regelgeving en beveiligingskaders, waaronder de AVG, Cyberbeveiligingswet, BIO2, ISO 27001 en ISO 27002?

20 Hoe ondersteunt de oplossing de gemeente bij het voldoen aan relevante wet- en regelgeving en beveiligingskaders, waaronder de AVG, Cyberbeveiligingswet, BIO2, ISO 27001 en ISO 27002?

Must 2 162 Architectuur Het platform dient ondersteuning te bieden voor het ACME-protocol (RFC 8555), zodat certificaten voor beveiligde communicatie geautomatiseerd kunnen worden beheerd en vernieuwd zonder handmatige interventie.

Gegadigde verzoekt de Provincie Noord-Brabant daarom te motiveren: a) waarom aantoonbare ervaring met de integratie van DigiD, eHerkenning en/of eIDAS noodzakelijk is voor een goede uitvoering van de opdracht; b) op welke wijze deze specifieke ervaring verband houdt met de in de aanbestedingsstukken beschreven scope; c) waarom ervaring met de implementatie en integratie van generieke identity- en accessmanagementoplossingen, waaronder Microsoft Entra ID en authenticatiestandaarden zoals OAuth 2.0/OIDC en SAML, onvoldoende wordt geacht.

Indien een dergelijk specifiek verband met de opdracht ontbreekt, verzoekt gegadigde de eis te wijzigen in: “De gegadigde beschikt over aantoonbare ervaring met de integratie van identiteits- en authenticatievoorzieningen en identity- en accessmanagementoplossingen, gebaseerd op gangbare standaarden en protocollen, zoals OAuth 2.0/OIDC, SAML, Microsoft Entra ID, DigiD, eHerkenning en/of eIDAS."

Eis 165: Digikoppeling, Haal Centraal en ZGW.

Welke Digikoppeling-profielen moet de oplossing ondersteunen (REST-API, ebMS2 en/of WUS)?

Must 1 165 Architectuur De oplossing voorziet in een Digikoppeling adapter en een Haal Centraal koppeling. Must 1 166 Architectuur De oplossing voorziet in een ZGW-API koppeling. Should 2 Bijlage G Programma van eisen Integratieplatform 5 van 5 Onderwerp: Uitstel publicatie Nota van Inlichtingen en rectificatie Geachte geïnteresseerden, De publicatie van de Nota van Inlichtingen, die voor vandaag gepland stond, wordt uitgesteld naar morgen, 13 oktober 2026.

Eis 128: toegankelijkhei d. Geldt WCAG 2.1 AA voor de gehele ontwikkel- en beheeromgeving van het platform, of alleen voor componenten die worden gebruikt door eindgebruikers en functioneel beheerders (zoals dashboards en de developer portal)?

De eis (WCAG 2.1 AA) geldt voor de componenten die worden gebruikt door eindgebruikers en functioneel beheerders.

Could 2 128 Functioneel Het platform moet toegankelijk zijn conform EN 301 549 | WCAG 2.1 AA Must 1 129 Leverancier De geboden oplossing heeft alle licenties voor de oplossing zelf.

Must 2 107 Architectuur Alle communicatie van en naar het vertrouwde provinciale netwerk of door de provincie aangewezen cloudomgeving vindt plaats over beveiligde verbindingen, zoals HTTPS en sFTP met onderliggend certificaat.

Must 1 93 Architectuur De leverancier zorgt dat IPv6 wordt ondersteund daar waar componenten extern ontsloten worden.

Kan de provincie bevestigen dat voor het SaaS-gedeelte van de hybride oplossing het overleggen van actuele, internationaal erkende Third-Party Assurance (TPA) rapportages zoals SOC 2 Type II en ISO 27001 volstaat en de eis voor klantspecifieke audits hierop vervalt?"

Voor het SaaS-gedeelte kan een geldige ISO 27001-certificering als aanvullende assurance worden gebruikt.

De inschrijver dient derhalve zowel een geldig ISO 27001-certificaat als de gevraagde BIO-zelfverklaring aan te leveren.

Must 2 18 Architectuur Het platform moet gegevensuitwisseling tussen (web)applicaties ondersteunen via gedocumenteerde API's op basis van REST, conform de NLGov REST API Design Rules, SOAP, met formele specificaties zoals OpenAPI en XML Schema Definition (XSD).

Dit sluit bovendien direct aan bij verplichte (overheids)standaarden, zoals de NLGov REST API Design Rules, die eveneens Engelse terminologie hanteren.

Alle communicatie is versleuteld met TLS 1.3, met fall back naar TLS 1.2, of hoger en zwakke protocollen zijn uitgeschakeld, conform forum voor standaardisatie.

Opdrachtnemer draagt er, binnen de reikwijdte van zijn Dienst op grond van de Overeenkomst, zorg voor dat Opdrachtgever te allen tijde kan voldoen aan de volgende wetgeving en standaarden voor Informatiebeveiliging: a. Algemene Verordening Gegevensbescherming; b. Wet Digitale Overheid/Wet Structuur Uitvoeringsorganisatie Werk en Inkomen; c. Baseline Informatiebeveiliging Overheid /ISO 27001:2022/toepasselijke controls ISO 27002:2022; d. Grip op Secure Software Development/Open Web Application Security Project; e. Het CIA beveiligingskader, zie bijlage 4; ◼ ff.

Opdrachtnemer dient in dat geval zorg te dragen voor dat hij binnen 60 kalenderdagen (of een door Opdrachtgever en Opdrachtnemer overeengekomen periode) na de ondertekening van de Overeenkomst beschikt over een ISO 27001:2022 (of gelijkwaardig) certificering of over een aantoonbare gelijkwaardige baseline op het gebied van Informatiebeveiliging voor de Diensten die onder deze Overeenkomst vallen.

Opdrachtnemer dient, voor de onder de Overeenkomst overeengekomen Diensten, op basis van ISO 27001:2022 (of gelijkwaardig), gecertificeerd te zijn en te blijven of over een aantoonbare gelijkwaardige baseline op het gebied van Informatiebeveiliging te beschikken.

Opdrachtnemer voldoet aan de eisen uit Grip op Secure Software Development, ISO 27001:2022 en relevante controls van de ISO 27002:2022 ten aanzien van de software die ingezet wordt.

Dan levert u binnen 7 dagen na voorlopige gunning levert het volgende bewijs aan: • Uittreksel Kamer van Koophandel, niet ouder dan zes maanden op het moment van het indienen van uw inschrijving. • Gedragsverklaring Aanbesteden (GVA), niet ouder dan twee jaar op het moment van het indienen uw inschrijving. 10 • Verklaring Belastingdienst, niet ouder dan zes maanden op het moment van het indienen van uw inschrijving. • Bewijs geldige aansprakelijkheidsverzekering. • Kopieën van vereiste geldige certificaten: ISO 27001 of gelijkwaardig en de Verklaring van Toepasselijkheid.

U beschikt over de vereiste certificering: b. ISO 27001 of gelijkwaardige certificering. Gelijkwaardige certificaten dienen door een erkende en onafhankelijke certificerende instelling te zijn getoetst. 4.4 Referenties U toont ervaring met vergelijkbare werkzaamheden aan met behulp van bijlage 9.

11.2 Opdrachtnemer verplicht zich gedurende de gehele looptijd van deze raamovereenkomst in het bezit te zijn van de volgende geldige certificaten: ISO 27001 of gelijkwaardig.

160 Gegevensbescherming: Alle data wordt versleuteld tijdens transport (TLS 1.2 of hoger).

160 Gegevensbescherming: Alle data wordt versleuteld tijdens transport (TLS 1.2 of hoger).

6.6 De ICT Prestatie van de Opdrachtnemer voldoet aan de richtlijn van www.digitoegankelijk.nl, of er wordt aantoonbaar gewerkt aan het behalen van deze richtlijn (voor zover deze van toepassing zijn op de Opdrachtnemer).

QuestionnaireT225104 Exported on 13Oct 2026 (Tue), 14:30 3/7 Van een vergelijkbare organisatie is sprake indien de organisatie voldoet aan de volgende kenmerken: ● de organisatie verwerkt persoonsgegevens op substantiële schaal en is gehouden aan de Algemene Verordening Gegevensbescherming (AVG) of een gelijkwaardig wettelijk kader; ● de organisatie is onderworpen aan aantoonbare wettelijke of toezichthoudende complianceverplichtingen; ● de organisatie stelt eisen aan de opslag, verwerking en toegang tot gegevens binnen de Europese Economische Ruimte (EER) of een gelijkwaardig gegevenssoevereiniteitsregime; ● de organisatie beschikt over een formeel informatiebeveiligingsbeleid gebaseerd op gangbare normen of frameworks, zoals BIO2, ISO 27001, NEN 7510 of gelijkwaardig.

Geschiktheidseis: Maatregelen inzake informatiebeveiliging Inschrijver dient te beschikken over een hoogwaardig systeem voor informatie en databeveiliging. Hiertoe dient Inschrijver te beschikken over een geldig ISO 27001-certificaat of gelijkwaardig certificaat waaruit blijkt dat haar organisatie en haar storage(locaties) voldoen aan de daarin gestelde hoogwaardige beveiligingseisen.

Een kwaliteitscertificaat, opgesteld door een onafhankelijke instantie, ISO/IEC 27001 of gelijkwaardig, geldig op de sluitingsdatum van de inschrijvingstermijn van deze aanbesteding (u volstaat met het toevoegen van een kopie van het certificaat).

# Onderwerp Maatregel Toelichting 1 Informatie-beveiligings- en privacybeleid Verwerker heeft een informatiebeveiligings- en privacybeleid dat voldoet aan de AVG en eventuele richtsnoeren van de Autoriteit Persoonsgegevens en aansluit op algemene standaarden zoals ISO 27001/2/18, NOREA of CoBIT.

De inschrijver beschikt op het moment van inschrijving over: - een geldig certificaat conform ISO 9001 of gelijkwaardig; - een geldig certificaat conform ISO/IEC 27001 of gelijkwaardig; - een geldig certificaat conform ISO 14001 of gelijkwaardig.

De inschrijver beschikt op het moment van inschrijving over: • een geldig certificaat conform ISO 9001 of gelijkwaardig; • een geldig certificaat conform ISO/IEC 27001 of gelijkwaardig; • een geldig certificaat conform ISO 14001 of gelijkwaardig.

Het oordeel van de toetsing wordt vastgelegd in deze bijlage onder a. Het CISO Office beoordeelt de beveiligingsmaatregelen en heeft hiervoor nodig: - BIV-classificatie - ISO 27001 certificering - Verklaring van Toepasselijkheid op de ISO 27001 certificering Of - Een door de leverancier ingevuld SURF normenkader als er geen ISO certificaat is.

C. Informatiebeveiliging U dient in het kader van informatiebeveiliging in zijn algemeenheid en op grond van de AVG aan te geven hoe zij voldoet aan het onderwerp informatiebeveiliging. Bewijsstuk U moet een certificaat (of een vergelijkbaar bewijs door een verklaring van een onafhankelijke en daartoe bevoegde Derde) van afdoende kwaliteitsborging kunnen verstrekken (ISO 27001 of een tenminste gelijkwaardig systeem), waarin procedures e.d. worden aangeduid of benoemd.

6.10 Vergoeding U heeft geen recht op een vergoeding van enigerlei kosten gemaakt in het kader van deze aanbesteding. © Tilburg University – Offerteaanvraag Leveren van informatiedragers Pagina 31 van 31 7 Checklist Nr. Onderdeel Voorwaarden 1 Uniform Europees Aanbestedingsdocument (UEA) Via TenderNed 2 Uittreksel(s) Kamer van Koophandel Niet ouder dan 6 maanden vanaf deadline Inschrijving Indien documenten door een procuratiehouder worden getekend, dient u de procuratieregeling bij uw Inschrijving bij te voegen 3 Referentieformulier Conform Bijlage 7 4 Algemene verklaring Conform Bijlage 4 5 Kwaliteitscriteria Kopie kwaliteitscertificaat of een verklaring van een onafhankelijke en daartoe bevoegde Derde 6 Informatiebeveiliging Kopie certificaat (of een vergelijkbaar bewijs door een verklaring van een onafhankelijke en daartoe bevoegde Derde) van afdoende kwaliteitsborging kunnen verstrekken (ISO 27001 of een tenminste gelijkwaardig systeem), waarin procedures e.d. worden aangeduid of benoemd 7 Prijsinvulformulier Conform Bijlage 9 Aanleveren in Excel-format (rechtsgeldig ondertekend) Aanleveren in PDF-format, (rechtsgeldig ondertekend) 8 Verklaring geen Russische betrokkenheid Conform Bijlage 6 9 Indien van toepassing: Verklaring betreffende Onderaannemers Conform Bijlage 5 Uniform Europees Aanbestedingsdocument (UEA) TN-594517 - 9 aug 2026 Pagina 1 van 28 Relevante aankondiging Nummer aankondiging in PB EU S (alleen indien u beschikt over dit nummer): - Vermeld, wanneer bekendmaking van een aankondiging in het Publicatieblad van de Europese Unie niet is vereist, andere gegevens op basis waarvan ondubbelzinnig kan worden vastgesteld om welke aanbestedingsprocedure het gaat (bijvoorbeeld verwijzing naar een bekendmaking op nationaal niveau): TenderNed-kenmerk: 594517 Procedure Deze aanbesteding betreft een procedure: Boven de Europese aanbestedingsdrempel Deel I: Gegevens over aanbestedingsprocedure en de aanbestedende dienst of aanbestedende entiteit (inclusief speciale-sectorbedrijven) Gegevens Identiteit van de aanbesteder: Tilburg University Om welke aanbesteding gaat het?

ISO 27001 of gelijkwaardig Ten aanzien van informatiebeveiliging stelt de Opdrachtgever eisen aan de dienstverlening en de daarbij ingezette systemen.

Inschrijver verklaart dat de door haar ingezette systemen en dienstverlening voldoen aan de uitgangspunten van NEN-EN-ISO/IEC 27001, dan wel een daarmee gelijkwaardig informatiebeveiligingsmanagementsysteem.

Voor ISO 27001 geldt dat het certificaat betrekking moet hebben op de aangeboden dienstverlening en/of de ingezette systemen die onderdeel uitmaken van deze opdracht; een organisatiebreed certificaat is niet vereist, mits de reikwijdte van het certificaat de opdracht dekt.

Opdrachtnemer levert en implementeert het systeem met een koppeling met AAD op basis van SAML 2.0 Connect ten behoeve van MFA en SingleSignOn opdat het gemeentelijke wachtwoordbeleid kan worden afgedwongen.

Fase: Inschrijffase Inschrijfronde: Inschrijfronde 1 Vragenronde: Vragenronde 3 Beantwoord op: 25 jun 2026 Percelen: P1 Lokale aanpak isolatie Ref.nr. Onderwerp: Nota van inlichtingen TN-587440 - 25 jun 2026 Pagina 5 van 8 191 equivalentie ISO 27001 voor ICT-component Vraag: Referentie: PvE Software – I&A LAI, Algemene eis 5 ("Leverancier is ISO-27001 gecertificeerd") versus Beschrijvend Document §2.7.2 sub h ("ISO 27001 certificaat óf een vergelijkbaar certificaat, óf bedrijfsdocumenten en procedures...").

Fase: Inschrijffase Inschrijfronde: Inschrijfronde 1 Vragenronde: Vragenronde 3 Beantwoord op: 25 jun 2026 Percelen: P1 Lokale aanpak isolatie Nota van inlichtingen TN-587440 - 25 jun 2026 Pagina 7 van 8 Ref.nr. Onderwerp: 194 certificering door hosting-/subverwerker Vraag: Indien het gegevensverwerkende platform draait bij een ISO 27001-gecertificeerde hosting- /cloudleverancier en de inschrijver zelf met geborgde procedures (conform BIO) werkt, voldoet de inschrijver dan aan eis 5, mits de certificering van de relevante hosting-/verwerkingsketen wordt aangetoond?

h. Informatiebeveiligingsmanagementsysteem De inschrijver dient te beschikken over een informatiebeveiligingsmanagementsysteem op basis van de norm ISO 27001 certificering. Als bewijs hiervan beschikt de inschrijver bij inschrijving over het ISO 27001 certificaat of een vergelijkbaar certificaat, of bedrijfsdocumenten en procedures, waaruit blijkt dat leidinggevend- en uitvoerend personeel hiermee bekend is.

De door de opdrachtnemer geleverde oplossing of dienst zal gedurende de looptijd van de overeenkomst daar waar relevant en/of van toepassing, voorzien zijn van maatregelen zoals gedefinieerd in de NEN-ISO/IEC 27002, minimaal voldoend aan BIO BasisBeveiligingsNiveau.

Kan de gemeente bevestigen dat de equivalentieregeling uit BD §2.7.2-h óók geldt voor het ICT-component, zodat een aantoonbaar gelijkwaardig ISMS (vergelijkbaar certificaat of geborgde bedrijfsdocumenten/procedures conform NEN-ISO/IEC 27002 en BIOBasisBeveiligingsNiveau) volstaat?

Fase: Inschrijffase Inschrijfronde: Inschrijfronde 1 Vragenronde: Vragenronde 3 Beantwoord op: 25 jun 2026 Percelen: P1 Lokale aanpak isolatie Ref.nr. Onderwerp: 193 proportionaliteit (verzoek tot schrappen knock-out / "of gelijkwaardig") Vraag: Een hard ISO-27001-certificaat zonder gelijkwaardigheidsmogelijkheid sluit ondernemers uit die aantoonbaar een gelijkwaardig beveiligingsniveau realiseren (geborgde ISO 27002-/BIO-maatregelen, dan wel certificering van de hosting-/verwerkingsketen), terwijl het beveiligingsdoel daarmee evengoed wordt bereikt.

Dit zorgt ervoor dat er geen aanpassingen gemaakt moeten worden in het SPF-record.

Voor Exchange Online wordt gebruik gemaakt van het SPF-record include:spf.protection.outlook.com.

Een SPF-record is een DNS-record dat aangeeft welke mailservers gemachtigd zijn om e-mail te verzenden namens een domein.

Of volstaat het wanneer SSO wordt gerealiseerd via gangbare open standaarden (zoals SAML 2.0 of OpenID Connect) die aantoonbaar integreerbaar zijn met de Microsoft Entra ID-omgeving van Opdrachtgever?

Antwoord: Het volstaat wanneer de Single Sign-On (SSO) wordt gerealiseerd via gangbare open standaarden zoals SAML 2.0 of OpenID Connect (OIDC), mits deze aantoonbaar en naadloos integreren met de Microsoft Entra ID-omgeving van Opdrachtgever.

Om aan zijn plichten uit artikel 38 van de Inkoopvoorwaarden te voldoen, overlegt Leverancier jaarlijks een actuele ISO 27001-certificering of een gelijkwaardige derdenverklaring (zoals ISAE 3402 of SOC 2 Type II), waaruit blijkt dat de relevante beveiligingsmaatregelen aantoonbaar zijn ingericht en worden nageleefd.

Fase: Inschrijffase Inschrijfronde: Inschrijfronde 1 Vragenronde: Vragenronde 1 Beantwoord op: 1 jun 2026 Percelen: P1 Vervanging vaste telefoniecentrale Ref.nr. Onderwerp: 205 Programma van Eisen 5.6 Vraag: Leverancier ziet graag dat een ISO 27001 OF NEN 7510, of gelijkwaardig vereist is.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.