TenderNed Standaardenmonitor

3 B Opdrachtnemer dient in het bezit te zijn van een geldig ISO 27001-certificaat of een aantoonbaar gelijkwaardig informatiebeveiligingsmanagementsysteem, gebaseerd op een risicogebaseerde aanpak voor informatiebeveiliging, toegangsbeheer, incidentmanagement en continue verbetering. Dit systeem dient gedocumenteerd en operationeel te zijn.

Opdrachtnemer heeft bij inschrijving een kopie van het geldige ISO 27001-certificaat overgelegd of een document met een verklaring van een gecertificeerde geaccrediteerde organisatie waaruit blijkt dat een gelijkwaardig systeem aanwezig is dat voldoet aan de in deze eis gestelde voorwaarden.

Afhankelijk van de situatie van Inschrijver gaat het om de volgende bewijsstukken: Bewijsstuk 1 Combinatieverklaring (model bijlage 3) Zie paragraaf 3.5.4 A Bewijsstuk 2 Verklaring Beroep op derde(n) (model bijlage 4) Zie paragraaf 3.5.4 B Bewijsstuk 3 Gedragsverklaring Aanbesteden (GVA) Zie paragraaf 4.1.2 Bewijsstuk 4 Verklaring betalingsgedrag belastingen en sociale premies Zie paragraaf 4.1.3 Bewijsstuk 5 Jaarrekening zonder continuïteitsparagraaf Zie paragraaf 4.2.1 A Bewijsstuk 6 Verklaring garantstelling moedermaatschappij (model bijlage 5) Zie paragraaf 4.2.1 A Bewijsstuk 7 Verklaring Financiële draagkracht en continuïteit bedrijfsvoering (model bijlage 6) Zie paragraaf 4.2.1 B Bewijsstuk 8 Bewijs van verzekering Zie paragraaf 4.2.1 C Bewijsstuk 9 Afschrift van het NEN-EN-ISO 9001-certificaat Zie paragraaf 4.2.2 C Bewijsstuk 10 Afschrift van het VCA* EN/OF VCA**-certificaat Zie paragraaf 4.2.2 D Bewijsstuk 11 Afschrift van het Wbpr-certificaat Zie paragraaf 4.2.2 E Bewijsstuk 12 Afschrift van het NEN-EN-ISO/IEC 27001-certificaat Zie paragraaf 4.2.2 E 3.6.7 Termijn verstrekken bewijsstukken De bewijsstukken ter verificatie van de Eigen Verklaring dienen, voor zover deze niet al bij Inschrijving zijn ingediend, binnen zeven (7) kalenderdagen na de verzenddatum van het verzoek tot het verstrekken van de bewijsstukken in bezit van GVB te zijn.

Inschrijver dient in dat verband te voldoen aan onderstaande normen ten aanzien van informatiebeveiliging. Inschrijver dient te beschikken en gedurende de looptijd van de Overeenkomst te blijven beschikken over een informatiebeveiligingsmanagementsysteem dat is gecertificeerd op basis van ISO/IEC 27001 of een gelijkwaardige norm en betrekking heeft op de aard van de Opdracht.

Beveiligings- en receptiediensten Aanbestedingsleidraad refnr 2026-47 Pagina 39 van 47 versie 1.0 definitief Indien Inschrijver nog niet beschikt over een ISO/IEC 27001-certificering of gelijkwaardig certificaat, dient hij bij Inschrijving aan te tonen dat een certificeringstraject is gestart dan wel uiterlijk binnen drie maanden na ingangsdatum van de Overeenkomst wordt gestart. GVB beschouwt certificaten zoals NEN 7510, BIO-conforme certificering en ISO 27701 in ieder geval als gelijkwaardige informatiebeveiligingscertificaten.

Deze koppelingen zijn essentieel voor authenticatie, communicatie en procesondersteuning. De belangrijkste integraties zijn: • Microsoft Entra ID (SAML/SSO) voor authenticatie, gebruikersprovisioning, synchronisatie van gebruikersaccounts en groepen en Single Sign-On; • Microsoft Exchange Online (SMTP/IMAP) voor inkomende en uitgaande e-mailverwerking, notificaties en het registreren van meldingen via e-mail; • IRIS, gebruikt door ORM voor het ontvangen, analyseren en opvolgen van operationele en safety - gerelateerde meldingen; • Ultimo, voor de automatische afhandeling van facilitaire en gebouwgebonden meldingen; • Azure OpenAI, toegepast binnen EWR voor AI-ondersteunde classificatie en categorisatie van meldingen; • SMS-notificatievoorzieningen via de LVNL ServiceNow- en Power Automate-omgeving; • diverse API- en webservicekoppelingen met interne en externe bedrijfssystemen.

Workaround Een tijdelijke oplossing waarmee een bedrijfsproces of functionaliteit kan worden hervat zonder dat de onderliggende oorzaak definitief is opgelost. Pagina 40 van 40 Bijlage B Afkortingen Afkorting Betekenis ACP Acceptatieomgeving API Application Programming Interface CAD Certified Application Developer CIS-ITSM Certified Implementation Specialist – IT Service Management CIS-SIR Certified Implementation Specialist – Security Incident Response CMDB Configuration Management Database CSA Certified System Administrator DEV Development omgeving DEVAPP Development Application omgeving EWR Elektronisch Wacht Rapport FSM Field Service Management ICT Informatie- en Communicatietechnologie ITIL Information Technology Infrastructure Library ITSM IT Service Management KPI Key Performance Indicator LIR LVNL Information Request LVNL Luchtverkeersleiding Nederland ORM Operational Risk Management OTAP Ontwikkeling, Test, Acceptatie en Productie PRD Productieomgeving SaaS Software as a Service SAML Security Assertion Markup Language SIR Security Incident Response SLA Service Level Agreement SLR Service Level Rapportage SPOC Single Point of Contact SSO Single Sign-On UEA Uniform Europees Aanbestedingsdocument

De opdrachtnemer treft hiertoe aantoonbaar passende en evenredige technische en organisatorische maatregelen, in lijn met gangbare normen voor informatiebeveiliging (zoals ISO 27001 of gelijkwaardig), waaronder in ieder geval: • het implementeren en onderhouden van een adequaat informatiebeveiligingsbeleid; • het beheersen van risico’s in de toeleveringsketen; • het tijdig (en onverwijld) melden van significante beveiligingsincidenten aan LVNL; • het waarborgen van bedrijfscontinuïteit, inclusief herstel- en uitwijkvoorzieningen.

Indien uw inschrijving als voorlopig winnend is aangemerkt dient u binnen 10 werkdagen ter onderbouwing van het Uniform Europees Aanbestedingsdocument (UEA) de volgende bewijsstukken in te dienen: • Uittreksel uit het Handelsregister, vanaf het tijdstip van inschrijving niet ouder dan 6 maanden; • GVA, vanaf het tijdstip van inschrijving niet ouder dan 2 jaar; • Verklaring Belastingdienst, vanaf het tijdstip van inschrijving niet ouder dan 6 maanden; • Verklaring beroep financiële en economische draagkracht derde (indien van toepassing); • Verklaring beroep technische en beroepsbekwaamheid derde (indien van toepassing); • Kwaliteitsmanagement: ISO 9001 of gelijkwaardige certificering; • Informatiebeveiligingssysteem: ISO 27001 of gelijkwaardige certificering. • Bewijsstuk ServiceNow Partner.

Pagina 27 van 40 6.5.3 Informatiebeveiliging Inschrijver beschikt over een informatiebeveiligingssysteem van zijn organisatie dat voldoet aan de eisen van ISO 27001 of gelijkwaardig.

SAML (Security Assertion Markup Language) Open standaard voor het uitwisselen van authenticatie- en autorisatiegegevens tussen partijen, in het bijzonder tussen een identiteitsprovider en een serviceprovider.

Diginetwerk Diginetwerk biedt een beveiligde infrastructuur voor extra veilige gegevensuitwisseling op eenduidige wijze tussen en met verschillende overheidsorganisaties conform een set van achterliggende afspraken en standaarden (o.a. Digikoppeling).

Het betreft normen en standaarden die de volgende ICT-kwaliteitsgebieden afdekken (tussen haakjes staan ter verduidelijking voorbeelden van betreffende normen en standaarden, waarbij opvolgende versies ook onder de normen vallen): • Architectuur (GEMMA); • Interoperabiliteit (NEN3610, Stuf, SUWIML, Digikoppeling, iWMO); • Beveiliging (Baseline Informatiebeveiliging Gemeenten); • Dataportabiliteit; • Metadatering (TMLO); • Toegankelijkheid (Webrichtlijnen); • Archivering (NEN-ISO 15489-1 NL, NEN-ISO 16175-1); • Infrastructuur (Generieke Digitale Infrastructuur, aansluiten op Stelsel van Basisregistraties); • Documentatie; • E-facturering. Veel normen en standaarden schrijven voor dat bepaalde preventieve testen worden uitgevoerd zodat aangetoond wordt dat aan de betreffende norm wordt voldaan.

Onvermijdelijke standaarden als TCP/IP, HTTPS enz.

ISO 27001 Een internationale standaard voor informatiebeveiligingsmanagementsystemen (ISMS).

Gemeenten implementeren en/of eisen ISO 27001 voor m.n. een systematische borging van informatiebeveiliging. Gegevensopslagstandaard in databases SQL De standaardtaal voor het ophalen, opslaan en bewerken van gegevens in en uit relationele databases achter gemeentelijke registratiesystemen.

Om aan zijn plichten uit artikel 38 van de Inkoopvoorwaarden te voldoen, overlegt Leverancier jaarlijks een derdenverklaring (TPM) en een ISO-certificering (ISO 27001).

Nijkerk hanteert zo mogelijk API’s i.p.v. StUF.

Waar toch nodig laatste versies van bijv.: Standaard Beschrijving StUF-BG Basisgegevens.

Faciliteert uitwisseling van basisgegevens binnen gemeenten StUF-ZKN Zaken.

Antwoord: De eis voor SOC 2 type II geldt naast de eis van ISO 27001 of gelijkwaardig (zoals NEN7510, deze certificering zien wij als gelijkwaardig voor ISO 27001).

De applicatie en/of het systeem dient te voldoen aan: •De leverancier van de applicatie is gecertificeerd voor ISO 27001 of gelijkwaardig.

wij beschikken over ISO 27001 en ISO 27701 certificaten.

De technische beveiliging van de applicatie voldoet dan: •Encryptie in transit: TLS 1.2 of hoger.

8.3 Indien de Verwerker periodiek een verklaring of certificaat (bijv. een ISO 27001-certificaat) van een onafhankelijke deskundige overlegt waaruit blijkt dat de Verwerker voldoet aan de verplichtingen uit de Verwerkersovereenkomst, de AVG en de toepasselijke wetgeving, en er geen aanwijzingen zijn van nietnaleving, is een reguliere audit niet vereist. Deze verklaring of certificaat moet bij het verlopen van de geldigheidsduur worden vernieuwd en opnieuw worden aangeleverd.

Frequentie van de uit te voeren reguliere audit: [SELECTEER ÉÉN OPTIE EN VERWIJDER DE REST. INDIEN ‘NIET VAN TOEPASSING’ WORDT GEKOZEN, SPECIFICEER HET CERTIFICAAT OF DE VERKLARING] o Eens per 2 jaar o Jaarlijks o Niet van toepassing, aangezien de Verwerker periodiek een [naam verklaring of certificaat, bijv. ISO 27001- certificaat] overlegt van een onafhankelijke deskundige waaruit blijkt dat de Verwerker voldoet aan de verplichtingen uit de Verwerkersovereenkomst, de AVG en de toepasselijke wetgeving De door Verwerker ingeschakelde Subverwerkers zijn: Subverwerker (naam en adres) Persoonsgegevens die Subverwerker verwerkt Omschrijving van de reden voor de subverwerking Land van verwerking De doorgiften naar derde landen bij de Verwerking zijn: Doorgifte naar derde landen (naam en adres partij die Persoonsgegevens ontvangt) Doel doorgifte (kostenbesparingen, schaalvoordelen of beveiligingsverbeteringen) Doorgiftemechanisme (bijv. Standard Contractual Clauses) Aanvullende maatregelen naar aanleiding van een doorgifte aan een derde land (indien van toepassing) Contactgegevens: Algemene contactgegevens Naam Functie E-mailadres Telefoonnummer Verwerkingsverantwoordelijke SURF Verwerkersovereenkomst 4.0 – Juni 2025 Page 8 of 12 Verwerker SURF Verwerkersovereenkomst 4.0 – Juni 2025 Page 9 of 12 Bijlage B: Beveiligingsmaatregelen Versienummer XX, datum: [datum] SELECTEER ÉÉN OPTIE EN VERWIJDER DE ANDERE OPTIE 1: Als Verwerker beschikt over certificaten die afdoende zijn Verwerker beschikt over de volgende geldige certificaten of verklaringen van een deskundige derde waaruit blijkt dat Verwerker voldoet aan zijn verplichting de Persoonsgegevens die hij ten behoeve van Verwerkingsverantwoordelijke verwerkt adequaat te beveiligen: Naam of nummer Toepassingsgebied Geldigheidsduur bijv. ISO 27001, NEN 7510, SOC 2 Verwerker draagt ervoor zorg dat hij gedurende deze Verwerkersovereenkomst blijft beschikken over bovenstaande certificaten of een gelijkwaardige opvolger daarvan met een nieuwe geldigheidsduur.

1 Informatiebeveiligings- en privacybeleid Verwerker heeft een informatiebeveiligings- en privacybeleid dat voldoet aan de AVG en eventuele richtsnoeren van de Autoriteit Persoonsgegevens en aansluit op algemene standaarden zoals ISO 27001/2/18, NOREA of CoBIT.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

Authenticatie, autorisatie & SSO • SAML 2.0 • OIDC, OAUth 2.0 • RBAC • Least privilige • Vereist is een koppeling met de gemeentelijke Entra ID (Azure AD) op basis van de verplichte of aanbevolen standaarden.

• Uitgaande connecties zijn altijd ontkoppeld via forward proxy van gemeente e-mail • DKIM • DMARC • SPF • DNSSEC • STARTTLS • DANE • Exchange webservices • Mailhosting is alleen on premise beschikbaar, door middel van Microsoft Exchange.

• Uitgaande connecties zijn altijd ontkoppeld via forward proxy van gemeente e-mail • DKIM • DMARC • SPF • DNSSEC • STARTTLS • DANE • Exchange webservices • Mailhosting is alleen on premise beschikbaar, door middel van Microsoft Exchange.

• Uitgaande connecties zijn altijd ontkoppeld via forward proxy van gemeente e-mail • DKIM • DMARC • SPF • DNSSEC • STARTTLS • DANE • Exchange webservices • Mailhosting is alleen on premise beschikbaar, door middel van Microsoft Exchange.

Verbinding • HTTPS • HSTS • TLS 1.2 • TLS 1.3 • DNSSEC • RPKI • IPv6 • Voor burgers en bedrijven toegankelijke voorzieningen (websites en e-mail) moeten zowel via IPv4 als IPv6 bereikbaar zijn.

De GEMMA componenten zijn: Klantenservice Het verlenen van service aan dienstenafnemers Klant en keteninteractie Het aangaan van de interactie met de klant en ketenpartners, het ervoor zorgen dat zij over de juiste gegevens en informatie Klanttevredenheid meting Het meten van de mate van tevredenheid bij klanten Klantfeedback verzameling Het verzamelen van feedback van klanten over de kwaliteit van plaatsgevonden dienstverlening Klantondersteuning Het inhoudelijk ondersteunen van klanten bij het afnemen van door de gemeente aangeboden diensten Dienstverlening serviceniveau meting Het meten en analyseren van de kwantiteit en kwaliteit van diensten ten opzichte van gedefinieerde service-levels Principes en richtlijnen Principe/ P1 De aangeboden oplossing dient de voldoen aan de WCAG 2.1.

– digi-toegankelijk standaard (EN 301 549 versie 2.1.2.)

Grondslag / GS1 Tijdelijk besluit Digitale Toegankelijkheid Overheid Definitie Websites en Apps dienen toegankelijk te zijn voor mensen met een beperking. Richtlijnen Zie WCAG 2.1 en EN 301 549 Consequentie Verklaring toegankelijkheid per website en of app Grondslag/ GS2 Algemene Verordening Gegevensbescherming “AVG” Definitie Organisaties mogen persoonsgegevens alleen verwerken in overeenstemming met de wet.

Verbinding • HTTPS • HSTS • TLS 1.2 • TLS 1.3 • DNSSEC • RPKI • IPv6 • Voor burgers en bedrijven toegankelijke voorzieningen (websites en e-mail) moeten zowel via IPv4 als IPv6 bereikbaar zijn.

Verbinding • HTTPS • HSTS • TLS 1.2 • TLS 1.3 • DNSSEC • RPKI • IPv6 • Voor burgers en bedrijven toegankelijke voorzieningen (websites en e-mail) moeten zowel via IPv4 als IPv6 bereikbaar zijn.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

Deze geschiktheidseis is gebaseerd op de Nederlandse Norm NEN-ISO/IEC 27001.

Bewijsmiddel(en)  of    een geldig certificaat volgens de norm NEN-ISO/IEC 27001, waarbij de scope van de certificering ten minste alle relevante processen van deze opdracht omvat, of OFFERTEAANVRAAG CONTACTCENTER-OPLOSSING DEEL 3 DE INSCHRIJVER pagina 20  een beschrijving van het geïmplementeerde informatiebeveiligingssysteem, of  gelijkwaardige bewijzen van maatregelen Bent u gecertificeerd?

• RPKI is alleen van toepassing op publieke IPadressen van IT-systemen van de overheid.

Verbinding • HTTPS • HSTS • TLS 1.2 • TLS 1.3 • DNSSEC • RPKI • IPv6 • Voor burgers en bedrijven toegankelijke voorzieningen (websites en e-mail) moeten zowel via IPv4 als IPv6 bereikbaar zijn.

• Uitgaande connecties zijn altijd ontkoppeld via forward proxy van gemeente e-mail • DKIM • DMARC • SPF • DNSSEC • STARTTLS • DANE • Exchange webservices • Mailhosting is alleen on premise beschikbaar, door middel van Microsoft Exchange.

De consequentie is dan dat de koppeling dan geheel moet worden opgebouwd volgens de StUF standaard.

Verbinding • HTTPS • HSTS • TLS 1.2 • TLS 1.3 • DNSSEC • RPKI • IPv6 • Voor burgers en bedrijven toegankelijke voorzieningen (websites en e-mail) moeten zowel via IPv4 als IPv6 bereikbaar zijn.

1.4 Opdrachtnemer beschikt over een geldig ISO 27001:2022-certificaat of gelijkwaardig certificaat waarvan de aangeboden dienstverlening onderdeel is van de scope.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

De Opdrachtnemer werkt overeenkomstig een algemeen erkend normenkader voor informatiebeveiliging, zoals: - NEN 7510; - NEN-EN-ISO/IEC 27001; - BIO2 (Baseline Informatiebeveiliging Overheid); - Of een aantoonbaar gelijkwaardig normenkader.

De bewijsmiddelen dienen actueel te zijn en betrekking te hebben op de organisatie en dienstverlening die wordt ingezet in het kader van de Overeenkomst. • een actueel en geldig certificaat, inclusief de daarbij behorende Verklaring van Toepasselijkheid (VVT) • een actueel onafhankelijk assurance- of auditrapport, zoals een TPM, ISAE 3000-, ISAE 3402- of SOC 2 Type II-rapport; • rapportages van onafhankelijke externe beveiligingsonderzoeken, zoals audits, pentesten of vergelijkbare controles; of • indien geen certificering of onafhankelijk assurance-rapport beschikbaar is: een beschrijving van het informatiebeveiligingsbeleid en de getroffen beheersmaatregelen, waaruit blijkt dat deze aantoonbaar aansluiten bij de BIO2, ISO 27001 of een gelijkwaardig normenkader.