TenderNed Standaardenmonitor

DD.01 - Handreiking Dijkbekleding, deel 1 Algemeen, versie d.d. januari 2015: https://repository.tudelft.nl/islandora/object/uuid%3Adcd44389-f276-48ba-a693- 29a15c9b3600 Groenbeheerplan CROW Publicatie 207, Richtlijnen voor de bebakening en markering van wegen, d.d. 13 februari 2015 ISBN 9789066286429 verkrijgbaar via CROW, zie www.crow.nl Eisen 4.2.2.2 - CROW Publicatie 322, Richtlijnen Bewegwijzering 2014 d.d. 23 januari 2014 ISBN 9789066286313 verkrijgbaar via CROW, zie www.crow.nl Eisen 4.2.4 - Verkeersmanagement voor Rijkswegen Proces VM020 AA Specificatie Functionele Inspecties en Testen, versie 5.0 d.d. 30-11-2020 Proces US2400 AB FIT_Typical, versie 5.0 verkregen op 20-2-2023 Proces US2400 AC Specificatie NEN 3140 en NEN 3840 inspecties, versie 4.5 d.d. 18 januari 2019 Proces IV094 AD Productspecificaties Hydrografische opnemingen Proces US1240 AE Vertrouwelijkheid: RWS BEDRIJFSVERTROUWELIJK Pagina 9 van 115 Bijlagen bij de Vraagspecificatie | zaaknummer <ZAAKID> | 23 februari 2023 Omschrijving referentie Vraagspecificatie deel Eis / bepaling Bijlage bij de Vraagspecificatie Handboek Bermbeveiligingsvoorzieningen d.d. september 2000 ISBN 9066283203 verkrijgbaar via CROW, zie www.crow.nl Bijlage C C.3.1 C.3.2 C.3.3 - WIOR Amsterdam, verkrijgbaar via https://www.amsterdam.nl/parkeren-verkeer/werken-openbareruimte/coordinatiestelsel-werken-weg/#h1e019aad2f1f-4f7d-afd5-e8a3939664aa U Uniforme werkwijze planners SPIN, versie 2.3 Proces VM010 U Aanpassing SPIN, versie juli 2019 Proces VM010 U SPIN: https://www.rijkswaterstaat.nl/zakelijk/verkeersmanagement/wegverkeer/spin#gebruikershandleiding Proces VM010 U Handreiking en format toestandsrapportages, versie 1.3 Proces US350 Hinderaanpak, verkregen via https://open.rws.nl/open-overheid/onderzoeksrapporten/@125846/werkwijzer-hinderaanpak/ Proces OM010 VN110 Handreiking Aanbesteden Versie 3.0: Het EMVI-BPKV criterium CO2-Prestatieladder voor aanbestedende diensten, verkrijgbaar via https://www.co2-prestatieladder.nl/nl/news-item/SKAO-publiceert-HandreikingAanbesteden-Versie-30 Proces MI120 Kader toepassing wetgeving Machineveiligheid beweegbare objecten HWN, HVWN en HWS, versie 2.3a Proces VP300 Tekeningenvoorschrift WNN 1.1 versie 16-05-22 Bijlage B Coderingsvoorschrift WNN 1.1 versie 16-05-22 Bijlage B DEFINITIEF_Leidraad invulinstructie kernGIS WNN V1.0 Bijlage B Leidraad Coordinated Vulneranerability Disclosure (Nationaal Cyber Security Centrum), zie https://www.ncsc.nl/documenten/publicaties/2019/mei/01/cvd-leidraad Proces CY110 Compendium Aanpak Constructieve Veiligheid, editie 2011, zie http://www.debeijeradvies.nl/pdf/Compendium_constructieve_veiligheid_2011[1].pdf Proces UA040 Grip op Secure Software Development (SSD), CIP, zie https://www.cip-overheid.nl/media/1101/grip-op-ssdhet-proces-v20.pdf Proces CY700 NEN-ISO/IEC-27005 (Information security risk management) Proces RM130 NEN 1010 Proces B-IV300 NEN-ISO/IEC 27002 (Code voor informatiebeveiliging) Proces CY140 NEN-EN 50110-1 Proces B-IV300 NEN-EN 50110-2 Proces B-IV300 Protocol berekenen en aantonen MKI-waarde Bijlage AG Vertrouwelijkheid: RWS BEDRIJFSVERTROUWELIJK Pagina 10 van 115 Bijlagen bij de Vraagspecificatie | zaaknummer <ZAAKID> | 23 februari 2023 Bijlage A Informatie Areaal A.1 Inleiding Op de USB-stickOp de externe schijfIn de dataroom Op TenderNedbehorende bij de Overeenkomst zijn mappen aanwezig met de areaalgegevens.

DD.01 - Handreiking Dijkbekleding, deel 1 Algemeen, versie d.d. januari 2015: https://repository.tudelft.nl/islandora/object/uuid%3Adcd44389-f276-48ba-a693- 29a15c9b3600 Groenbeheerplan CROW Publicatie 207, Richtlijnen voor de bebakening en markering van wegen, d.d. 13 februari 2015 ISBN 9789066286429 verkrijgbaar via CROW, zie www.crow.nl Eisen 4.2.2.2 - CROW Publicatie 322, Richtlijnen Bewegwijzering 2014 d.d. 23 januari 2014 ISBN 9789066286313 verkrijgbaar via CROW, zie www.crow.nl Eisen 4.2.4 - Verkeersmanagement voor Rijkswegen Proces VM020 AA Specificatie Functionele Inspecties en Testen, versie 5.0 d.d. 30-11-2020 Proces US2400 AB FIT_Typical, versie 5.0 verkregen op 20-2-2023 Proces US2400 AC Specificatie NEN 3140 en NEN 3840 inspecties, versie 4.5 d.d. 18 januari 2019 Proces IV094 AD Productspecificaties Hydrografische opnemingen Proces US1240 AE Vertrouwelijkheid: RWS BEDRIJFSVERTROUWELIJK Pagina 9 van 115 Bijlagen bij de Vraagspecificatie | zaaknummer <ZAAKID> | 23 februari 2023 Omschrijving referentie Vraagspecificatie deel Eis / bepaling Bijlage bij de Vraagspecificatie Handboek Bermbeveiligingsvoorzieningen d.d. september 2000 ISBN 9066283203 verkrijgbaar via CROW, zie www.crow.nl Bijlage C C.3.1 C.3.2 C.3.3 - WIOR Amsterdam, verkrijgbaar via https://www.amsterdam.nl/parkeren-verkeer/werken-openbareruimte/coordinatiestelsel-werken-weg/#h1e019aad2f1f-4f7d-afd5-e8a3939664aa U Uniforme werkwijze planners SPIN, versie 2.3 Proces VM010 U Aanpassing SPIN, versie juli 2019 Proces VM010 U SPIN: https://www.rijkswaterstaat.nl/zakelijk/verkeersmanagement/wegverkeer/spin#gebruikershandleiding Proces VM010 U Handreiking en format toestandsrapportages, versie 1.3 Proces US350 Hinderaanpak, verkregen via https://open.rws.nl/open-overheid/onderzoeksrapporten/@125846/werkwijzer-hinderaanpak/ Proces OM010 VN110 Handreiking Aanbesteden Versie 3.0: Het EMVI-BPKV criterium CO2-Prestatieladder voor aanbestedende diensten, verkrijgbaar via https://www.co2-prestatieladder.nl/nl/news-item/SKAO-publiceert-HandreikingAanbesteden-Versie-30 Proces MI120 Kader toepassing wetgeving Machineveiligheid beweegbare objecten HWN, HVWN en HWS, versie 2.3a Proces VP300 Tekeningenvoorschrift WNN 1.1 versie 16-05-22 Bijlage B Coderingsvoorschrift WNN 1.1 versie 16-05-22 Bijlage B DEFINITIEF_Leidraad invulinstructie kernGIS WNN V1.0 Bijlage B Leidraad Coordinated Vulneranerability Disclosure (Nationaal Cyber Security Centrum), zie https://www.ncsc.nl/documenten/publicaties/2019/mei/01/cvd-leidraad Proces CY110 Compendium Aanpak Constructieve Veiligheid, editie 2011, zie http://www.debeijeradvies.nl/pdf/Compendium_constructieve_veiligheid_2011[1].pdf Proces UA040 Grip op Secure Software Development (SSD), CIP, zie https://www.cip-overheid.nl/media/1101/grip-op-ssdhet-proces-v20.pdf Proces CY700 NEN-ISO/IEC-27005 (Information security risk management) Proces RM130 NEN 1010 Proces B-IV300 NEN-ISO/IEC 27002 (Code voor informatiebeveiliging) Proces CY140 NEN-EN 50110-1 Proces B-IV300 NEN-EN 50110-2 Proces B-IV300 Protocol berekenen en aantonen MKI-waarde Bijlage AG Vertrouwelijkheid: RWS BEDRIJFSVERTROUWELIJK Pagina 10 van 115 Bijlagen bij de Vraagspecificatie | zaaknummer <ZAAKID> | 23 februari 2023 Bijlage A Informatie Areaal A.1 Inleiding Op de USB-stickOp de externe schijfIn de dataroom Op TenderNedbehorende bij de Overeenkomst zijn mappen aanwezig met de areaalgegevens.

DD.01 - Handreiking Dijkbekleding, deel 1 Algemeen, versie d.d. januari 2015: https://repository.tudelft.nl/islandora/object/uuid%3Adcd44389-f276-48ba-a693- 29a15c9b3600 Groenbeheerplan CROW Publicatie 207, Richtlijnen voor de bebakening en markering van wegen, d.d. 13 februari 2015 ISBN 9789066286429 verkrijgbaar via CROW, zie www.crow.nl Eisen 4.2.2.2 - CROW Publicatie 322, Richtlijnen Bewegwijzering 2014 d.d. 23 januari 2014 ISBN 9789066286313 verkrijgbaar via CROW, zie www.crow.nl Eisen 4.2.4 - Verkeersmanagement voor Rijkswegen Proces VM020 AA Specificatie Functionele Inspecties en Testen, versie 5.0 d.d. 30-11-2020 Proces US2400 AB FIT_Typical, versie 5.0 verkregen op 20-2-2023 Proces US2400 AC Specificatie NEN 3140 en NEN 3840 inspecties, versie 4.5 d.d. 18 januari 2019 Proces IV094 AD Productspecificaties Hydrografische opnemingen Proces US1240 AE Vertrouwelijkheid: RWS BEDRIJFSVERTROUWELIJK Pagina 9 van 115 Bijlagen bij de Vraagspecificatie | zaaknummer <ZAAKID> | 23 februari 2023 Omschrijving referentie Vraagspecificatie deel Eis / bepaling Bijlage bij de Vraagspecificatie Handboek Bermbeveiligingsvoorzieningen d.d. september 2000 ISBN 9066283203 verkrijgbaar via CROW, zie www.crow.nl Bijlage C C.3.1 C.3.2 C.3.3 - WIOR Amsterdam, verkrijgbaar via https://www.amsterdam.nl/parkeren-verkeer/werken-openbareruimte/coordinatiestelsel-werken-weg/#h1e019aad2f1f-4f7d-afd5-e8a3939664aa U Uniforme werkwijze planners SPIN, versie 2.3 Proces VM010 U Aanpassing SPIN, versie juli 2019 Proces VM010 U SPIN: https://www.rijkswaterstaat.nl/zakelijk/verkeersmanagement/wegverkeer/spin#gebruikershandleiding Proces VM010 U Handreiking en format toestandsrapportages, versie 1.3 Proces US350 Hinderaanpak, verkregen via https://open.rws.nl/open-overheid/onderzoeksrapporten/@125846/werkwijzer-hinderaanpak/ Proces OM010 VN110 Handreiking Aanbesteden Versie 3.0: Het EMVI-BPKV criterium CO2-Prestatieladder voor aanbestedende diensten, verkrijgbaar via https://www.co2-prestatieladder.nl/nl/news-item/SKAO-publiceert-HandreikingAanbesteden-Versie-30 Proces MI120 Kader toepassing wetgeving Machineveiligheid beweegbare objecten HWN, HVWN en HWS, versie 2.3a Proces VP300 Tekeningenvoorschrift WNN 1.1 versie 16-05-22 Bijlage B Coderingsvoorschrift WNN 1.1 versie 16-05-22 Bijlage B DEFINITIEF_Leidraad invulinstructie kernGIS WNN V1.0 Bijlage B Leidraad Coordinated Vulneranerability Disclosure (Nationaal Cyber Security Centrum), zie https://www.ncsc.nl/documenten/publicaties/2019/mei/01/cvd-leidraad Proces CY110 Compendium Aanpak Constructieve Veiligheid, editie 2011, zie http://www.debeijeradvies.nl/pdf/Compendium_constructieve_veiligheid_2011[1].pdf Proces UA040 Grip op Secure Software Development (SSD), CIP, zie https://www.cip-overheid.nl/media/1101/grip-op-ssdhet-proces-v20.pdf Proces CY700 NEN-ISO/IEC-27005 (Information security risk management) Proces RM130 NEN 1010 Proces B-IV300 NEN-ISO/IEC 27002 (Code voor informatiebeveiliging) Proces CY140 NEN-EN 50110-1 Proces B-IV300 NEN-EN 50110-2 Proces B-IV300 Protocol berekenen en aantonen MKI-waarde Bijlage AG Vertrouwelijkheid: RWS BEDRIJFSVERTROUWELIJK Pagina 10 van 115 Bijlagen bij de Vraagspecificatie | zaaknummer <ZAAKID> | 23 februari 2023 Bijlage A Informatie Areaal A.1 Inleiding Op de USB-stickOp de externe schijfIn de dataroom Op TenderNedbehorende bij de Overeenkomst zijn mappen aanwezig met de areaalgegevens.

Bestaande tekeningen in RTW, die wijzigen door het Werk, dienen omgezet te worden naar NLCS (Nederlandse CAD standaard).

De Opdrachtnemer dient de As-built bestanden en tekeningen te leveren conform de volgende specificaties:  Bestandsformaat: inleesbaar in Autocad, vigerende versie is op te vragen bij de Opdrachtgever;  Tekeningenformaat: opgebouwd conform NLCS (Nederlandse CAD standaard); Voor nadere informatie zie: www.bimloket.nl/nlcs;  Document “Aanvullende eisen tekenwerk Rijkswaterstaat”, te downloaden van www.rws.nl/datacontracteisen tabblad “CAD-bestanden en tekeningen Rijkswaterstaat”; Document “Tekenvoorschrift Object- en lijninfrastructuur gebonden installaties”, te downloaden van www.rws.nl/datacontracteisen, tabblad “CAD-bestanden en tekeningen Rijkswaterstaat”.

Bestaande tekeningen die niet conform NLCS zijn opgebouwd dienen, als daar kleine wijzigingen op plaatsvinden, niet te worden omgezet naar NLCS.

VSE (systeem) CSS20 Transport Layer Security Het Systeem dient bij inzet van versleuteling alleen te kiezen voor de versleuteling, de onderliggende algoritmes en instellingen met uitsluitend de duiding “goed”, zoals aangegeven in het NCSC document [ICT-beveiligingsrichtlijnen voor Transport Layer Security (TLS)].

VSE (systeem) CSS20 Transport Layer Security Het Systeem dient bij inzet van versleuteling alleen te kiezen voor de versleuteling, de onderliggende algoritmes en instellingen met uitsluitend de duiding “goed”, zoals aangegeven in het NCSC document [ICT-beveiligingsrichtlijnen voor Transport Layer Security (TLS)].

VSE (systeem) CSS20 Transport Layer Security Het Systeem dient bij inzet van versleuteling alleen te kiezen voor de versleuteling, de onderliggende algoritmes en instellingen met uitsluitend de duiding “goed”, zoals aangegeven in het NCSC document [ICT-beveiligingsrichtlijnen voor Transport Layer Security (TLS)].

A.8.20, A.8.22 NW-02 Alle beheer- en printprotocollen zijn versleuteld (HTTPS-beheerinterface, IPPS); ondersteuning voor TLS 1.2 of hoger.

BT.6 De beheertooling is met een webbrowser te benaderen (HTTPS).

BT.6 De beheertooling is met een webbrowser te benaderen (HTTPS).

APP.18 De Producten ondersteunen zowel IPv4, IPv6 als dual stack.

APP.18 De Producten ondersteunen zowel IPv4, IPv6 als dual stack.

A.8.20, A.8.22 3.4 Gegevensbescherming en privacy (AVG) ID Eis ISO 27001:2022 DP-01 De interne opslag (HDD/SSD) is versleuteld (AES-256).

Hierbij zal de actuele versie van de richtsnoeren beveiliging persoonsgegevens van de Autoriteit Persoonsgegevens alsmede de ISO 27001/ISO 27002 als uitgangspunt gebruikt worden.

Elke eis is voorzien van een verwijzing naar de relevante maatregel uit ISO/IEC 27001:2022 Annex A, zodat de eisen herleidbaar zijn naar het ISMS en bruikbaar in de leveranciersselectie en contractvorming. 2 Uitgangspunten en scope De volgende uitgangspunten zijn kaderstellend en vertaald in de eisen verderop: – Fleet-levering: meerdere MFP's, centraal te beheren als één beheerde vloot.

Hierbij zal de actuele versie van de richtsnoeren beveiliging persoonsgegevens van de Autoriteit Persoonsgegevens alsmede de ISO 27001/ISO 27002 als uitgangspunt gebruikt worden.

References: • SSD: 4 • OWASP: https://cheatsheetseries.owasp.org/cheatsheets/Transport_Layer_Protection_Cheat_Sheet.html • ISO 27002:2013 13.1.1 13.2.1 14.1.2 STITCH 1.1 - Security Technical IT CHecklist 5/11 STITCH-2 The identity of users has been vetted a nd identities are managed federatively Institutions must check the identities of users and authenicate them, and applications shall work with federated identities.

References • SSD: 6 • ISO 27002:2013 18.1.1 9.2.4 9.2.1 9.2.6 9.4.2 STITCH 1.1 - Security Technical IT CHecklist 6/11 STITCH-3 Authorisation is based on separation of duties and least privilege Applications must apply separation of duties.

In case of Opportunistic TLS protocols, for example IMAP, POP3, NNTP and LDAP, check if the STARTTLS command is being sent after the initial unencrypted connection has been set up.

In case of Opportunistic TLS protocols, for example IMAP, POP3, NNTP and LDAP, check if the STARTTLS command is being sent after the initial unencrypted connection has been set up.

A.8.20, A.8.22 NW-02 Alle beheer- en printprotocollen zijn versleuteld (HTTPS-beheerinterface, IPPS); ondersteuning voor TLS 1.2 of hoger.

IB.10 Alle verbindingen zowel intern als extern moeten ge-encrypt worden via Transport Layer Security (TLS).

Dit geldt voor ETL (FTPS) en servicekoppelingen (https obv TLS 1.2 of TLS 1.3) IB.11 Standaard wachtwoorden moeten direct bij installatie gewijzigd worden.

Opdrachtnemer mag hierbij gebruik maken van SAML 2.0 of Open-id connect (OAuth 2.0).

De SaaSleverancier mag hierbij gebruik maken van SAML 2.0 of Open-id connect (OAuth 2.0).

De SaaS-leverancier mag hierbij gebruik maken van SAML 2.0 of Open-id connect (OAuth 2.0).

De oplossing moet voldoen aan het gemeentelijke beveiligingsbeleid en moet gebruik maken van de relevante technieken zoals op de pas-toe-ofleg-uit lijst (PTOLU) staan vermeld (SPF, DKIM, DMARC, STARTTLS+DANE).

De oplossing moet voldoen aan het gemeentelijke beveiligingsbeleid en moet gebruik maken van de relevante technieken zoals op de pas-toe-of-leg-uit lijst (PTOLU) 4 staan vermeld (SPF, DKIM, DMARC, STARTTLS+DANE).

E-mail versturen via externe, niet in beheer van de gemeente zijnde mailservers, met zelf aan te vragen domeinen (al bij de gemeente horende domeinen zoals @s-hertogenbosch.nl kunnen dus niet worden gebruikt): De oplossing moet voldoen aan het gemeentelijke beveiligingsbeleid en moet gebruik maken van de relevante technieken zoals op de pas-toe-of-leg-uit lijst (PTOLU) staan vermeld (SPF, DKIM, DMARC, STARTTLS+DANE).

De oplossing moet voldoen aan het gemeentelijke beveiligingsbeleid en moet gebruik maken van de relevante technieken zoals op de pas-toe-ofleg-uit lijst (PTOLU) staan vermeld (SPF, DKIM, DMARC, STARTTLS+DANE).

De oplossing moet voldoen aan het gemeentelijke beveiligingsbeleid en moet gebruik maken van de relevante technieken zoals op de pas-toe-of-leg-uit lijst (PTOLU) 4 staan vermeld (SPF, DKIM, DMARC, STARTTLS+DANE).

E-mail versturen via externe, niet in beheer van de gemeente zijnde mailservers, met zelf aan te vragen domeinen (al bij de gemeente horende domeinen zoals @s-hertogenbosch.nl kunnen dus niet worden gebruikt): De oplossing moet voldoen aan het gemeentelijke beveiligingsbeleid en moet gebruik maken van de relevante technieken zoals op de pas-toe-of-leg-uit lijst (PTOLU) staan vermeld (SPF, DKIM, DMARC, STARTTLS+DANE).

c De applicatie voldoet aan de beveiligingsrichtlijnen voor webapplicaties van het NCSC, is versleuteld met protocollen en algoritmen volgens de laatste stand van de techniek en moet voldoen aan de pas-toe-of-leg-uit lijst (PTOLU) van het Forum Standaardisatie (o.a. https://, DNSSEC, IPv6 etc.) d Het gebruik van TLS en HTTP headers voldoet aan de laatste stand van de techniek.

b. Interfaces voor inwoners en bedrijven van de ICT-oplossing voldoen aan de eisen vermeld op www.digitoegankelijk.nl c. De applicatie voldoet aan de beveiligingsrichtlijnen voor webapplicaties van het NCSC1 , is versleuteld met protocollen en algoritmen volgens de laatste stand van de techniek2 en moet voldoen aan de pas-toe-of-leg-uit lijst (PTOLU) van het Forum Standaardisatie3 (o.a. https://, DNSSEC, IPv6 etc.) d. Het gebruik van TLS en HTTP-headers voldoet aan de laatste stand van de techniek.

Als hier 100% wordt gescoord, dan wordt aan alle voorwaarden voldaan en zijn zaken met betrekking tot IPv6 en DNSSEC die buiten de scope van dit document vallen ook in orde.

b Interfaces voor inwoners en bedrijven van de ICT-oplossing voldoen aan de eisen vermeld op www.digitoegankelijk.nl.

b. Interfaces voor inwoners en bedrijven van de ICT-oplossing voldoen aan de eisen vermeld op www.digitoegankelijk.nl c. De applicatie voldoet aan de beveiligingsrichtlijnen voor webapplicaties van het NCSC1 , is versleuteld met protocollen en algoritmen volgens de laatste stand van de techniek2 en moet voldoen aan de pas-toe-of-leg-uit lijst (PTOLU) van het Forum Standaardisatie3 (o.a. https://, DNSSEC, IPv6 etc.) d. Het gebruik van TLS en HTTP-headers voldoet aan de laatste stand van de techniek.

Filetransfer (HTTPS, SFTP of SCP) Gemeente initieert altijd het ophalen van de data, data kan niet gepusht worden naar het Dataplatform.

In geval van doorverwijzing moet de domeinnaam eerst zelf verwijzen naar zijn HTTPSvariant, voordat deze eventueel doorverwijst naar een andere domeinnaam.

Dit zorgt er ook voor dat een webbrowser de HSTS-policy kan accepteren.

c De applicatie voldoet aan de beveiligingsrichtlijnen voor webapplicaties van het NCSC, is versleuteld met protocollen en algoritmen volgens de laatste stand van de techniek en moet voldoen aan de pas-toe-of-leg-uit lijst (PTOLU) van het Forum Standaardisatie (o.a. https://, DNSSEC, IPv6 etc.) d Het gebruik van TLS en HTTP headers voldoet aan de laatste stand van de techniek.

Verbindingen van en naar publieke netwerken vinden altijd plaats op basis van de TCP/IP protocol suite, waarbij voor diensten die de gemeente aanbiedt geldt dat hier zowel IPv4 als IPv6 wordt gebruikt.

b. Interfaces voor inwoners en bedrijven van de ICT-oplossing voldoen aan de eisen vermeld op www.digitoegankelijk.nl c. De applicatie voldoet aan de beveiligingsrichtlijnen voor webapplicaties van het NCSC1 , is versleuteld met protocollen en algoritmen volgens de laatste stand van de techniek2 en moet voldoen aan de pas-toe-of-leg-uit lijst (PTOLU) van het Forum Standaardisatie3 (o.a. https://, DNSSEC, IPv6 etc.) d. Het gebruik van TLS en HTTP-headers voldoet aan de laatste stand van de techniek.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

De BIO2 is gebaseerd op de laatste versie van de ISO 27001 en de ISO 27002.

De BIO2 is gebaseerd op de laatste versie van de ISO 27001 en de ISO 27002.

Om ongewenste omleidingen van verkeer te voorkomen wordt als onderliggende laag van de aangeboden dienst(en) verplicht gebruik gemaakt van RPKI.

De oplossing moet voldoen aan het gemeentelijke beveiligingsbeleid en moet gebruik maken van de relevante technieken zoals op de pas-toe-ofleg-uit lijst (PTOLU) staan vermeld (SPF, DKIM, DMARC, STARTTLS+DANE).

De oplossing moet voldoen aan het gemeentelijke beveiligingsbeleid en moet gebruik maken van de relevante technieken zoals op de pas-toe-of-leg-uit lijst (PTOLU) 4 staan vermeld (SPF, DKIM, DMARC, STARTTLS+DANE).

E-mail versturen via externe, niet in beheer van de gemeente zijnde mailservers, met zelf aan te vragen domeinen (al bij de gemeente horende domeinen zoals @s-hertogenbosch.nl kunnen dus niet worden gebruikt): De oplossing moet voldoen aan het gemeentelijke beveiligingsbeleid en moet gebruik maken van de relevante technieken zoals op de pas-toe-of-leg-uit lijst (PTOLU) staan vermeld (SPF, DKIM, DMARC, STARTTLS+DANE).

Eis TE2 Opdrachtnemer waarborgt dat de aangeboden ICT-oplossing met bijbehorende koppelingen niet meer dan één major versie achterloopt (“neerwaartse compatibiliteit”) op de webrichtlijnen en de landelijke standaarden, zoals de ZGW API’s, Haal Centraal, StUF-BG, RGBZ, ImZTC en RSGB die voor de ICToplossing van toepassing zijn.

Van buiten (SaaS) naar binnen geldt dat een tweezijdige TLS-verbinding noodzakelijk is op basis van de laatste beveiligingsstandaarden (TLS 1.2, TLS 1.3).

Het gebruik van security.txt (RFC 9116) is verplicht.

Het is de bedoeling dat verzoeken aan /.wellknown/security.txt via een zogenaamde 302-redirect worden doorgeleid naar https://s-hertogenbosch.nl/.well-known/security.txt, tenzij de aangeboden dienst niet exclusief voor de gemeente bedoeld is.

In dat geval is gebruik van een security.txtmechanisme welke door de leverancier is ingericht van toepassing; 22.

4.2.4 Informatiebeveiliging U beschikt op de uiterste datum voor het indienen van de inschrijving over een geldig certificaat conform ISO 27001 Informatiebeveiliging of over gelijkwaardige maatregelen op het gebied van informatiebeveiliging. De gemeente aanvaardt, in geval van gelijkwaardige maatregelen, een beschrijving op hoofdlijnen van uw managementsysteem voor informatiebeveiliging. Hierin toont u aan dat uw managementsysteem voor informatiebeveiliging minimaal gelijkwaardig is aan ISO 27001.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

Indien bijlage V "Cybersecurity Implementatierichtlijn Objecten" niet voorziet in cybersecuritymaatregelen voor de invulling van de cybersecurity eisen, dan dient de Opdrachtnemer de NEN-ISO/IEC 27002 (Code voor Informatiebeveiliging) en/of delen van de IEC 62443 standaards (Industrial Automation and Control Systems (IACS) Security) te volgen.

Als bewijs hiervan beschikt inschrijver over certificaten, NEN ISO 27001 of gelijkwaardig door bedrijfsdocumenten en procedures, waaruit dat blijkt dat zowel leidinggevend als uitvoerend personeel hiermee bekend is.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

De BIO2 is gebaseerd op de laatste versie van de ISO 27001 en de ISO 27002.

De BIO2 is gebaseerd op de laatste versie van de ISO 27001 en de ISO 27002.

Eis 17 Opdrachtnemer dient bij de inrichting van de webshop rekening te houden met het gebruik van de webshop door medewerkers met een (lichte) taalachterstand of een beperking. De gehele webshop van Opdrachtnemer dient te voldoen aan de toepasselijke eisen voor digitale toegankelijkheid van EN 301 549 v3.2.1.

Voor webcontent dient te worden voldaan aan WCAG 2.1, niveau AA.

ISO 27001 Kwaliteitszorgsysteem ISO 27001 of aantoonbaar gelijkwaardig De Inschrijver dient aantoonbaar in control te zijn op het gebied van informatiebeveiliging en de veilige omgang met Persoonsgegevens en andere gegevens die in het kader van de Opdracht worden verwerkt.

De Inschrijver dient aan één van de onderstaande voorwaarden te voldoen: a) De Inschrijver is ISO 27001-gecertificeerd of beschikt over een aantoonbaar gelijkwaardig informatiebeveiligingsmanagementsysteem.

• Kwaliteitszorgsysteem ISO 27001 of aantoonbaar gelijkwaardig.

De BIO2 is gebaseerd op ISO/IEC 27001 en ISO/IEC 27002 en gaat uit van een risicogebaseerde aanpak voor het bepalen en treffen van passende technische en organisatorische beveiligingsmaatregelen.

Opdrachtnemer heeft een wachtwoordbeleid vastgesteld en gedocumenteerd, gebaseerd op de toepasselijke beheersmaatregelen uit NEN-EN-ISO/IEC 27002:2022.

• De Content en het portaal voldoen aan de huidige Web Content Accessibility Guidelines (WCAG) 2.1 en eventuele opvolgende standaarden gedurende de looptijd van de Overeenkomst (zie ook https://www.digitoegankelijk.nl/uitleg-van-eisen).

De content en het portaal voldoen aan de huidige Web Content Accessibility Guidelines (WCAG) 2.1 voor zover verplicht, en eventuele opvolgende verplichte standaarden gedurende de looptijd van de Raamovereenkomst (zie ook Digitale toegankelijkheid voor leveranciers | Digitoegankelijk).

Is de aanbestedende dienst bereid deze eis alsnog op te nemen, bijvoorbeeld door ISO 27001 of aantoonbaar gelijkwaardig als geschiktheids- of uitvoeringseis voor te schrijven?

Opdrachtnemer en diens Hulpleverancier in het bezit te zijn* van: *aankruisen wat van toepassing is □ een geschreven beveiligingsbeleid conform ISO 27001 inzake Information Security Management binnen 2 jaar na ondertekening van deze overeenkomst. 2.

Certificaat Opdrachtnemer beschikt over een ISO 27001 certificaat of is bereid dit certificaat te behalen binnen twee (2) jaar na ondertekendatum van de Raamovereenkomst. Indien na twee (2) jaar geen certificering behaald is kan dit leiden tot vroegtijdige ontbinding van de Raamovereenkomst tussen opdrachtnemer de deelnemer Politie.

Dit kader is gebaseerd op de internationaal erkende en actuele ISO-normatiek NEN-ISO/IEC 27002:2017.

In dat geval dient Opdrachtnemer een geldig ISO 27001 certificaat van dit digitale onlinesysteem te kunnen overleggen, welke is uitgegeven door een door de overheid geaccrediteerde organisatie (volgens de Raad van Accreditatie).

Voor gelijkwaardigheid dient minimaal het volgende te kunnen worden aangetoond en overlegd: • Een gedocumenteerd managementsysteem dat een passende invulling geeft aan de ISO 27002:2017; • Overzicht van geïdentificeerde risico’s en getroffen maatregelen rondom informatieveiligheid; • Passend beleid rondom ondertekening van geheimhoudingsverklaringen; • Overzicht van (sub)verwerkers en kunnen aantonen dat informatie wordt opgeslagen op een locatie die is toegestaan volgens de geldende wetgeving; • Passend protocol op het gebied van melden van informatieveiligheidsincidenten; • De uitvoering van interne en externe audits over informatieveiligheid.

De belangrijkste (bronnen van en hun opvolgers) standaarden (niet limitatief) worden hieronder opgesomd: a. NORA (www.noraonline.nl en www.digitaleoverheid.nl/onderwerpen/nora); b. RijksOverheid Referentie Architectuur (RORA), de opvolger van de Enterprise Architectuur Rijksdienst (EAR) (www.roraonline.nl); c. In voorkomende gevallen conformeert Deelnemer zich aan de Open Standaarden zoals vermeld op de website van Forum Standaardisatie (https://www.forumstandaardisatie.nl/ Deelnemer kan in de specificatie van de Nadere overeenkomst expliciet verwijzen naar de relevante Open Standaarden die op de ‘pas toe of leg uit’-lijst van Forum Standaardisatie staan en hier nadere eisen aan stellen; d. De digitoegankelijkheidseisen voor applicaties van de Rijksoverheid (https://www.digitoegankelijk.nl/ en https://www.forum standaardisatie.nl/openstandaarden/digitoegankelijk-en-301-549-met-wcag-21) Programma van Eisen RVICTO-MDA 2026-II versie D4.0 Pagina 5 van 52 e. Informatiebeveiliging: het Besluit voorschrift informatiebeveiliging rijksdienst (VIR) 2007, het Besluit voorschrift informatiebeveiliging rijksoverheid – bijzondere informatie (VIRBI) 2025, de Baseline Informatiebeveiliging Overheid (BIO2) A.4.2 Aanvullend gelden de volgende bronnen: f. De NPR 5333 als richtlijn voor het output-gebaseerd contracteren en meten van prestaties in agile opdrachten voor softwareontwikkeling en -onderhoud NPR 5333:2025 nl g. De ICT-beveiligingsrichtlijnen voor webapplicaties, uitgegeven door het NCSC (https://www.ncsc.nl/documenten/publicaties/2019/mei/01/ict-beveiligingsrichtlijnenvoor-webapplicaties) h. Basisregistraties en stelselafspraken, oftewel het gebruik van authentieke gegevensbronnen: https://www.digitaleoverheid.nl/overzicht-van-alleonderwerpen/basisregistraties-en-stelselafspraken/stelsel-vanbasisregistraties/stelselplaat/ i. EN/NPR 5326 voor risicobeheersing bij ontwikkeling en onderhoud van maatwerksoftware: https://www.nen.nl/NEN-Shop/Norm/NPR-53262019-nl.htm.

• Digitale Toegankelijkheid: Fungeren als kenniscentrum voor digitale toegankelijkheid (digitoegankelijk.nl).

Opdrachtnemer heeft hiervoor een effectief werkend information security management systeem (ISMS) volgens NEN-EN-ISO/IEC ISO 27001 of gelijkwaardig.

Informatiebeveiligingsbeheersysteem6 Door het ondertekenen van het ‘Uniform Europees Aanbestedingsdocument’ verklaart Inschrijver: • dat de onderneming van Inschrijver bij inschrijving en gedurende de uitvoering van de Raamovereenkomst beschikt over een geldige ISO-27001-certificering, dan wel over maatregelen die aantoonbaar gelijkwaardig zijn aan de norm ISO 27001.

Onder gelijkwaardig wordt verstaan dat Inschrijver maatregelen heeft getroffen die, in vergelijking met de norm ISO 27001, op alle onderdelen een objectief vergelijkbaar niveau van duurzame risicobeheersing bieden.

Normenkader Wederpartij richt de Informatiebeveiliging in overeenkomstig de volgende normen en kaders: Baseline Informatiebeveiliging Overheid 2 (BIO2), aangevuld met: [per contract in te vullen, bijvoorbeeld: NEN-EN-ISO/IEC 27001, NEN-EN-ISO/IEC 27002, NEN 7510 of andere sectorspecifieke normen] Toelichting: Legt vast tegen welk normenkader wordt ingericht én getoetst (vgl.

De Oplossing ondersteunt Single Sign-On via de IAM-voorziening van Opdrachtgever, op basis van SAML 2.0 en/of OpenID Connect/OpenID.NLGov, voor zover ondersteund Pagina 14 door de door Opdrachtgever gebruikte IAM-voorziening. Voor autorisatie van toegang tot REST-API’s wordt, voor zover van toepassing, gebruikgemaakt van OAuth 2.0 conform het voor de Nederlandse overheid geldende profiel.

De door de Oplossing gebruikte publiek bereikbare domeinnamen ondersteunen DNSSEC voor zover dit technisch van toepassing is.

Het betreft normen en standaarden die de volgende ICT-kwaliteitsgebieden afdekken (tussen haakjes staan ter verduidelijking voorbeelden van betreffende normen en standaarden, waarbij opvolgende versies ook onder de normen vallen): • Architectuur (GEMMA); • Interoperabiliteit (NEN3610, Stuf, SUWIML, Digikoppeling, iWMO); • Beveiliging (Baseline Informatiebeveiliging Gemeenten); • Dataportabiliteit; • Metadatering (TMLO); • Toegankelijkheid (Webrichtlijnen); • Archivering (NEN-ISO 15489-1 NL, NEN-ISO 16175-1); • Infrastructuur (Generieke Digitale Infrastructuur, aansluiten op Stelsel van Basisregistraties); • Documentatie; • E-facturering. Veel normen en standaarden schrijven voor dat bepaalde preventieve testen worden uitgevoerd zodat aangetoond wordt dat aan de betreffende norm wordt voldaan.

Daarnaast heeft het uitgebreide import en export functionaliteit in diverse gangbare formaten (DWG, DXF, DGN, SHP, Geopackage, FileGeodatabase, GeoPDF, GML , XML etc.). Binnen de gemeente Lansingerland wordt binnen de BGT zoveel als mogelijk gewerkt met standaard BGT-IMGeo-objecten en -attributen.

Voor het tekenen van de geometrie kunnen bestanden in gangbare CAD- en GIS-formaten (waaronder DGN-formaat, DWG-formaat, Geopackage, ESRI-shape) en GML-formaat als referentielaag gekoppeld worden.

Met de Oplossing kunnen exports gemaakt (gegenereerd) worden en bestaat de mogelijkheid om met behulp van selecties en filters alle aanwezige data te exporteren in diverse gangbare formaten, zoals DWG, DXF, DGN, SHP, Geopackage, FileGeodatabase, CityGML, GeoPDF, GML , GML Light, XML, GeoJSON, CSV, XLSX.

Voor internetverbindingen wordt gebruikgemaakt van HTTPS met een actueel en veilig TLS-profiel, waarbij minimaal TLS 1.2 en waar technisch mogelijk TLS 1.3 wordt ondersteund, conform de actuele richtlijnen van het NCSC en de verplichte open standaarden van het Forum Standaardisatie.

Geschiktheidseis 5: Informatieveiligheid – ISO27001 Opdrachtnemer en zijn Hostingpartner dienen in het bezit te zijn van een geldig ISO 27001 certificaat of aantoonbaar gelijkwaardig.

Indien u al in het bezit bent van een geldig certificaat en een verklaring van toepasselijkheid of een ander keurmerk/verklaring dat gelijkwaardig is aan ISO 27001, voeg deze dan toe aan uw inschrijving. Uitvoeringsvoorwaarden: U overlegt jaarlijks een op de ISO/IEC 27001-ISO/IEC 27002 gebaseerde TPM (Third Party Mededeling ISAE 3402 SOC 2 type 2), waarmee u aantoont dat uw ICT-dienstverlening voldoet aan de kwaliteitsstandaard.

U toont jaarlijks op een andere wijze aan te voldoen aan de eisen zoals gesteld in de ISO/IEC 27001-ISO/IEC 27002 (of vergelijkbaar), waarbij het uitsluitend aan Opdrachtgever is om te bepalen of de kwaliteit voldoende gewaarborgd is.

Indien u al in het bezit bent van een geldig certificaat en een verklaring van toepasselijkheid of een ander keurmerk/verklaring dat gelijkwaardig is aan ISO 27001, voeg deze dan toe aan uw inschrijving. Uitvoeringsvoorwaarden: U overlegt jaarlijks een op de ISO/IEC 27001-ISO/IEC 27002 gebaseerde TPM (Third Party Mededeling ISAE 3402 SOC 2 type 2), waarmee u aantoont dat uw ICT-dienstverlening voldoet aan de kwaliteitsstandaard.

• Het maken van selecties / filters van objecten in de kaart op basis van een of meerdere NLCSattributen.

De Oplossing ondersteunt de omzetting van BGT/IMGeo-gegevens naar het door Opdrachtgever gebruikte NLCS-formaat.

Indien tevens omzetting van NLCS naar BGT/IMGeo wordt verlangd, dient deze omzetting de voor BGT/IMGeo geldende validatieregels te respecteren.

Ja = 1 Nee = 0 W12 Bestaande API’s worden in de vorm van REST/JSON aangeboden en ontworpen via de ‘standaard REST-API Design Rules’ zoals beschreven door Forum Standaardisatie en beheerd door Logius voor nieuw te bouwen API’s. Ja = 1 Nee = 0 Totaalscore wensen Optellen en invullen Bijlage 2 - Definities Begrip Definitie Aanbestedende dienst Gemeente Lansingerland Postadres: Postbus 1, 2650 AA Berkel en Rodenrijs Bezoekadres: Tobias Asserlaan 1, 2662 SB Bergschenhoek Aanbestedingsstukken/-documenten Alle stukken die door de gemeente zijn opgesteld of vermeld ter omschrijving of bepaling van onderdelen van de aanbesteding of de procedure, waaronder in ieder geval deze aanbestedingsleidraad inclusief bijlagen en de Nota(’s) van Inlichtingen.

De Oplossing is gecertificeerd voor horizontaal berichtenverkeer met BOR via de laatste versie van StUF-Geo IMGeo.

Het biedt standaard IMGeo-functionaliteit en StUF-Geo IMGeo-berichtenverkeer, en biedt de mogelijkheid tot het toevoegen van eigen objecten en attributen.

De Oplossing is gecertificeerd voor verticaal berichtenverkeer met LV-BGT via de laatste versie van StUF-Geo IMGeo.

Voor internetverbindingen wordt gebruikgemaakt van HTTPS met een actueel en veilig TLS-profiel, waarbij minimaal TLS 1.2 en waar technisch mogelijk TLS 1.3 wordt ondersteund, conform de actuele richtlijnen van het NCSC en de verplichte open standaarden van het Forum Standaardisatie.