TenderNed Standaardenmonitor

3 De oplossing voldoet aantoonbaar zoveel mogelijk aan de Europese standaard EN 301 549 met WCAG 2.1 niveau AA.

Informatiebeveiliging Inschrijver beschikt uiterlijk op de uiterste datum voor het indienen van de Inschrijving over een geïmplementeerd en onafhankelijk gecertificeerd managementsysteem voor informatiebeveiliging dat voldoet aan ISO/IEC 27001:2022 of een gelijkwaardige norm.

Bewijsmiddel in te dienen binnen 10 kalenderdagen na verzoek Aanbestedende dienst: ● Een geldig ISO/IEC 27001:2022-certificaat, afgegeven door een daartoe geaccrediteerde certificerende instelling, inclusief de bijbehorende scopeverklaring; of ● een gelijkwaardig certificaat, inclusief een toelichting waaruit de gelijkwaardigheid en toepasselijke scope blijken.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

De BIO2 is gebaseerd op de laatste versie van de ISO 27001 en de ISO 27002.

Informatiebeveiliging en privacy 1 Verkeer met data of gegevens en/of toegang tot gegevens vindt uitsluitend plaats via een veilige verbinding via TLS 1.2 of hoger.

(Indien u niet in het bezit bent van een ISO 27001 certificaat).

De BIO sluit aan op de actuele, internationale standaard voor informatiebeveiliging (NEN-ISO/IEC 27001).

39 Beschrijvend document constructiesoftware Wft – DUO-EURAAN-JA-IUCN25100274 3 van 40 Bijlagen Door u in te dienen bij inschrijving Verplicht bij inschrijving Invulformulieren Invulformulier 1 Inschrijfbiljet Ja Invulformulier 2 Prijzenblad Ja Invulformulier 3 URL testomgeving praktijktest Ja Invulformulier 4 Referentieverklaring Ja Invulformulier 5 Verklaring Onderaanneming Alleen indien van toepassing Invulformulier 6 Machtigingsformulier rechtsgeldige vertegenwoordiging bij ondertekening Invulformulier I -Inschrijfbiljet Alleen indien van toepassing Invulformulier 7 Verklaring financiële en technische garantstelling concern Ja Invulformulier 8 Verklaring geen Russische betrokkenheid Ja Invulformulier 9 Verklaring beroep op andere entiteit (om te voldoen aan een geschiktheidseis) Alleen indien van toepassing Overige stukken UEA Uniform Europees Aanbestedingsdocument (UEA) via de UEA-wizard in TenderNed in PDF-format voor inschrijver/penvoerder Ja Bewijsstuk 1 Recent uittreksel(s) uit beroeps- en handelsregister niet ouder dan zes maanden Ja Via pdf-bestanden Uw uitwerking van het programma van wensen Ja Bewijsstuk 4 Beroepsaansprakelijkheidsverzekering Ja Bewijsstuk 5 ISO 27001 of gelijkwaardig Ja Indienen bij verificatie UEA van de winnende inschrijver(s) Bewijsstuk 2 Gedragsverklaring aanbesteden (niet ouder dan twee jaar) Bewijsstuk 3 Verklaring van de Belastingdienst (niet ouder dan zes maanden) Overzicht bijbehorende documenten Bijlage 1a Programma van eisen (PvE) Bijlage 1b Programma van eisen-uitvoeringseisen Bijlage 2 Omschrijving praktijktest-onderdeel programma van eisen Bijlage 3 Programma van wensen (PvW) Bijlage 4a Format invulling PvW kwaliteitscriterium 1 (G1) Bijlage 4b Format invulling PvW kwaliteitscriterium 2 (G2) Bijlage 4c Format invulling PvW kwaliteitscriterium 3 (G3) Bijlage 4d Format invulling PvW kwaliteitscriterium 4 (G4) Bijlage 5 Concept Dienstverleningsovereenkomst Bijlage 6 Concept Verwerkersovereenkomst Bijlage 7 ARBIT-2022 Bijlage 8 Begrippenlijst Bijlage 9 Brochure e-factureren Rijksoverheid Bijlage 10 Financiële bijsluiter e-facturatie 2023 DUO Bijlage 11 Verslag marktconsultatie Beschrijvend document constructiesoftware Wft – DUO-EURAAN-JA-IUCN25100274 4 van 40 1.

Verder werden genoemd: -ISO 9001 -ISO 27017 -ISO 27018 -ISO 27002 -1EDTECH QTI v3.0 6.

Koppeling Uitvoeringseis 1 Het product wisselt via de EDU koppeling gegevens uit met de opdrachtgever middels: -Uitwisseling vindt plaats uitsluitend via een mTLS verbinding. (tenmiste TLS 1.2 of TLS 1.3) -In de uitwisseling vindt identificatie uitsluitend met PKIo certificaten plaats.

US1700 US1720 Indien de Cybersecurity Implementatierichtlijn Objecten - RWS conform bijlage V “Richtlijnen Cybersecurity” bij de Vraagspecificatie niet voorziet in maatregelen voor de invulling van de cybersecurity eisen, dient de Opdrachtnemer de NEN ISO/IEC 27002 (Code voor Informatiebeveiliging) en de IEC 62443 te volgen.

US1700 US1720 Indien de Cybersecurity Implementatierichtlijn Objecten - RWS conform bijlage V “Richtlijnen Cybersecurity” bij de Vraagspecificatie niet voorziet in maatregelen voor de invulling van de cybersecurity eisen, dient de Opdrachtnemer de NEN ISO/IEC 27002 (Code voor Informatiebeveiliging) en de IEC 62443 te volgen.

US1700 US1720 Indien de Cybersecurity Implementatierichtlijn Objecten - RWS conform bijlage V “Richtlijnen Cybersecurity” bij de Vraagspecificatie niet voorziet in maatregelen voor de invulling van de cybersecurity eisen, dient de Opdrachtnemer de NEN ISO/IEC 27002 (Code voor Informatiebeveiliging) en de IEC 62443 te volgen.

Vraag 4 – Standaardkoppelingen platform Vrijwel alle partijen noemen standaardkoppelingen voor SSO (Entra ID/Azure AD, SAML/OAuth/OIDC), HR-systemen (o.a. AFAS/Youforce/Visma/Nmbrs) en leerstandaarden (SCORM, LTI; soms xAPI/CMI5).

Het betreft normen en standaarden die de volgende ICT-kwaliteitsgebieden afdekken (tussen haakjes staan ter verduidelijking voorbeelden van betreffende normen en standaarden, waarbij opvolgende versies ook onder de normen vallen): • Architectuur (GEMMA); • Interoperabiliteit (NEN3610, Stuf, SUWIML, Digikoppeling, iWMO); • Beveiliging (Baseline Informatiebeveiliging Gemeenten); • Dataportabiliteit; • Metadatering (TMLO); • Toegankelijkheid (Webrichtlijnen); • Archivering (NEN-ISO 15489-1 NL, NEN-ISO 16175-1); • Infrastructuur (Generieke Digitale Infrastructuur, aansluiten op Stelsel van Basisregistraties); • Documentatie; • E-facturering. Veel normen en standaarden schrijven voor dat bepaalde preventieve testen worden uitgevoerd zodat aangetoond wordt dat aan de betreffende norm wordt voldaan.

De BIO2 is gebaseerd op de laatste versie van de ISO 27001 en de ISO 27002.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

De BIO2 is gebaseerd op de laatste versie van de ISO 27001 en de ISO 27002.

− De SaaS-applicatie ondersteunt daartoe minimaal de actuele versies van de protocollen SAML 2.0, OpenID Connect en OAuth 2.0, zodat koppeling mogelijk is met Microsoft Entra ID én andere gangbare Identity Providers.

Dit houdt in ieder geval in dat de SaaS-applicatie moet kunnen samenwerken met gangbare authenticatieprotocollen (zoals SAML2, OpenID Connect en/of OAuth2), REST API’s voor gegevensuitwisseling ondersteunt, minimale eisen stelt aan encryptie (zoals TLS 1.2 of hoger), en waar relevant ondersteuning biedt voor e-mailbeveiligingsstandaarden als DKIM en DMARC.

E-mail Alle domeinnamen en mailservers die gekoppeld zijn aan het gebruik van de SaaS-applicatie en door of namens de Provincie Limburg worden gebruikt, dienen de volgende authenticatie en beveiligingsstandaarden toe te passen: • DKIM • DMARC • SPF • DANE • STARTTLS Deze standaarden moeten worden toegepast op álle overheidsdomeinnamen van waaruit gemaild wordt, alsook op álle mailservers waarmee de Provincie Limburg e-mail verzendt en ontvangt.

Dit houdt in ieder geval in dat de SaaS-applicatie moet kunnen samenwerken met gangbare authenticatieprotocollen (zoals SAML2, OpenID Connect en/of OAuth2), REST API’s voor gegevensuitwisseling ondersteunt, minimale eisen stelt aan encryptie (zoals TLS 1.2 of hoger), en waar relevant ondersteuning biedt voor e-mailbeveiligingsstandaarden als DKIM en DMARC.

E-mail Alle domeinnamen en mailservers die gekoppeld zijn aan het gebruik van de SaaS-applicatie en door of namens de Provincie Limburg worden gebruikt, dienen de volgende authenticatie en beveiligingsstandaarden toe te passen: • DKIM • DMARC • SPF • DANE • STARTTLS Deze standaarden moeten worden toegepast op álle overheidsdomeinnamen van waaruit gemaild wordt, alsook op álle mailservers waarmee de Provincie Limburg e-mail verzendt en ontvangt.

6 Algemene netwerkprotocollen De SaaS-applicatie en bijbehorende infrastructuur dienen naadloos te communiceren via, en compatibel te zijn met de volgende gangbare netwerkprotocollen en beveiligingsstandaarden: Netwerktechnologiën • DNS • DHCP • 802.1X • DNSSEC • IPv4 • IPv6 • RPKI • VPN • WPA-2 Enterprise Transportbeveiliging • TLS; • TLS 1.2 • TLS 1.3 Websites Indien de SaaS-applicatie webdiensten of websites levert, gelden de volgende eisen: • Verplicht gebruik van HTTPS voor alle webpagina’s en services.

Dit betreft in ieder geval, maar niet uitsluitend, standaarden op het gebied van beveiliging, gegevensuitwisseling, interoperabiliteit en toegankelijkheid, waaronder: DNSSEC, HTTPS en HSTS, IPv6 en IPv4, NEN-ISO/IEC 27001, NEN-ISO/IEC 27002, NL GOV Assurance profile for OAuth 2.0, ODF, OpenAPI Specification, REST-API Design Rules, RPKI, security.txt, TLS, XBRL.

De SaaS-applicatie, website en eventuele mobiele app dienen gedurende de gehele looptijd te voldoen aan de toegankelijkheidseisen zoals opgenomen in de geldende (meest recente) versie van de Europese standaard EN 301 549 en in de bijbehorende toegankelijkheidsnormen (WCAG, minimaal niveau A + AA).

Opdrachtnemer dient bij oplevering van de SaaS-applicatie een schriftelijke toelichting te verstrekken van de mate waarin voldaan wordt aan de toegankelijkheidseisen, zoals opgenomen in de geldende (meest recente) versie van de Europese standaard EN 301 549 en in de bijbehorende toegankelijkheidsnormen (WCAG, minimaal niveau A + AA).

6 Algemene netwerkprotocollen De SaaS-applicatie en bijbehorende infrastructuur dienen naadloos te communiceren via, en compatibel te zijn met de volgende gangbare netwerkprotocollen en beveiligingsstandaarden: Netwerktechnologiën • DNS • DHCP • 802.1X • DNSSEC • IPv4 • IPv6 • RPKI • VPN • WPA-2 Enterprise Transportbeveiliging • TLS; • TLS 1.2 • TLS 1.3 Websites Indien de SaaS-applicatie webdiensten of websites levert, gelden de volgende eisen: • Verplicht gebruik van HTTPS voor alle webpagina’s en services.

Dit betreft in ieder geval, maar niet uitsluitend, standaarden op het gebied van beveiliging, gegevensuitwisseling, interoperabiliteit en toegankelijkheid, waaronder: DNSSEC, HTTPS en HSTS, IPv6 en IPv4, NEN-ISO/IEC 27001, NEN-ISO/IEC 27002, NL GOV Assurance profile for OAuth 2.0, ODF, OpenAPI Specification, REST-API Design Rules, RPKI, security.txt, TLS, XBRL.

• HSTS (HTTP Strict Transport Security) dient te zijn ingeschakeld.

Dit betreft in ieder geval, maar niet uitsluitend, standaarden op het gebied van beveiliging, gegevensuitwisseling, interoperabiliteit en toegankelijkheid, waaronder: DNSSEC, HTTPS en HSTS, IPv6 en IPv4, NEN-ISO/IEC 27001, NEN-ISO/IEC 27002, NL GOV Assurance profile for OAuth 2.0, ODF, OpenAPI Specification, REST-API Design Rules, RPKI, security.txt, TLS, XBRL.

6 Algemene netwerkprotocollen De SaaS-applicatie en bijbehorende infrastructuur dienen naadloos te communiceren via, en compatibel te zijn met de volgende gangbare netwerkprotocollen en beveiligingsstandaarden: Netwerktechnologiën • DNS • DHCP • 802.1X • DNSSEC • IPv4 • IPv6 • RPKI • VPN • WPA-2 Enterprise Transportbeveiliging • TLS; • TLS 1.2 • TLS 1.3 Websites Indien de SaaS-applicatie webdiensten of websites levert, gelden de volgende eisen: • Verplicht gebruik van HTTPS voor alle webpagina’s en services.

De inschrijver dient derhalve, aantoonbaar op de dag van inschrijving, te beschikken over: ● een aan hem verstrekt kwaliteitssysteemcertificaat op basis van de norm NEN-EN-ISO 27001:2023.

Dit certificaat moet aan de Inschrijver zijn afgegeven door een certificatie-instelling, erkend door een nationale accreditatieinstelling (in Nederland: de Raad voor Accreditatie); of ● een geldig certificaat dat minimaal gelijkwaardig is aan de NEN-EN-ISO ISO 27001:2023 norm.

Bewijsmiddel Indien u in aanmerking komt voor gunning dient u op verzoek van de aanbesteder binnen 14 kalenderdagen na voorlopige gunning een kopie van een geldig NEN-EN-ISO 27001:2023 certificaat te overleggen of een geldig certificaat dat minimaal gelijkwaardig is aan de NENEN-ISO ISO 27001:2023 norm.

Dit betreft in ieder geval, maar niet uitsluitend, standaarden op het gebied van beveiliging, gegevensuitwisseling, interoperabiliteit en toegankelijkheid, waaronder: DNSSEC, HTTPS en HSTS, IPv6 en IPv4, NEN-ISO/IEC 27001, NEN-ISO/IEC 27002, NL GOV Assurance profile for OAuth 2.0, ODF, OpenAPI Specification, REST-API Design Rules, RPKI, security.txt, TLS, XBRL.

Dit betreft in ieder geval, maar niet uitsluitend, standaarden op het gebied van beveiliging, gegevensuitwisseling, interoperabiliteit en toegankelijkheid, waaronder: DNSSEC, HTTPS en HSTS, IPv6 en IPv4, NEN-ISO/IEC 27001, NEN-ISO/IEC 27002, NL GOV Assurance profile for OAuth 2.0, ODF, OpenAPI Specification, REST-API Design Rules, RPKI, security.txt, TLS, XBRL.

Dit betreft in ieder geval, maar niet uitsluitend, standaarden op het gebied van beveiliging, gegevensuitwisseling, interoperabiliteit en toegankelijkheid, waaronder: DNSSEC, HTTPS en HSTS, IPv6 en IPv4, NEN-ISO/IEC 27001, NEN-ISO/IEC 27002, NL GOV Assurance profile for OAuth 2.0, ODF, OpenAPI Specification, REST-API Design Rules, RPKI, security.txt, TLS, XBRL.

6 Algemene netwerkprotocollen De SaaS-applicatie en bijbehorende infrastructuur dienen naadloos te communiceren via, en compatibel te zijn met de volgende gangbare netwerkprotocollen en beveiligingsstandaarden: Netwerktechnologiën • DNS • DHCP • 802.1X • DNSSEC • IPv4 • IPv6 • RPKI • VPN • WPA-2 Enterprise Transportbeveiliging • TLS; • TLS 1.2 • TLS 1.3 Websites Indien de SaaS-applicatie webdiensten of websites levert, gelden de volgende eisen: • Verplicht gebruik van HTTPS voor alle webpagina’s en services.

Dit betreft in ieder geval, maar niet uitsluitend, standaarden op het gebied van beveiliging, gegevensuitwisseling, interoperabiliteit en toegankelijkheid, waaronder: DNSSEC, HTTPS en HSTS, IPv6 en IPv4, NEN-ISO/IEC 27001, NEN-ISO/IEC 27002, NL GOV Assurance profile for OAuth 2.0, ODF, OpenAPI Specification, REST-API Design Rules, RPKI, security.txt, TLS, XBRL.

E-mail Alle domeinnamen en mailservers die gekoppeld zijn aan het gebruik van de SaaS-applicatie en door of namens de Provincie Limburg worden gebruikt, dienen de volgende authenticatie en beveiligingsstandaarden toe te passen: • DKIM • DMARC • SPF • DANE • STARTTLS Deze standaarden moeten worden toegepast op álle overheidsdomeinnamen van waaruit gemaild wordt, alsook op álle mailservers waarmee de Provincie Limburg e-mail verzendt en ontvangt.

6 Algemene netwerkprotocollen De SaaS-applicatie en bijbehorende infrastructuur dienen naadloos te communiceren via, en compatibel te zijn met de volgende gangbare netwerkprotocollen en beveiligingsstandaarden: Netwerktechnologiën • DNS • DHCP • 802.1X • DNSSEC • IPv4 • IPv6 • RPKI • VPN • WPA-2 Enterprise Transportbeveiliging • TLS; • TLS 1.2 • TLS 1.3 Websites Indien de SaaS-applicatie webdiensten of websites levert, gelden de volgende eisen: • Verplicht gebruik van HTTPS voor alle webpagina’s en services.

Dit houdt in ieder geval in dat de SaaS-applicatie moet kunnen samenwerken met gangbare authenticatieprotocollen (zoals SAML2, OpenID Connect en/of OAuth2), REST API’s voor gegevensuitwisseling ondersteunt, minimale eisen stelt aan encryptie (zoals TLS 1.2 of hoger), en waar relevant ondersteuning biedt voor e-mailbeveiligingsstandaarden als DKIM en DMARC.

Dit betreft in ieder geval, maar niet uitsluitend, standaarden op het gebied van beveiliging, gegevensuitwisseling, interoperabiliteit en toegankelijkheid, waaronder: DNSSEC, HTTPS en HSTS, IPv6 en IPv4, NEN-ISO/IEC 27001, NEN-ISO/IEC 27002, NL GOV Assurance profile for OAuth 2.0, ODF, OpenAPI Specification, REST-API Design Rules, RPKI, security.txt, TLS, XBRL.

Dit betreft in ieder geval, maar niet uitsluitend, standaarden op het gebied van beveiliging, gegevensuitwisseling, interoperabiliteit en toegankelijkheid, waaronder: DNSSEC, HTTPS en HSTS, IPv6 en IPv4, NEN-ISO/IEC 27001, NEN-ISO/IEC 27002, NL GOV Assurance profile for OAuth 2.0, ODF, OpenAPI Specification, REST-API Design Rules, RPKI, security.txt, TLS, XBRL.

• Een geldig en actueel security.txt-bestand moet aanwezig zijn.

De SSO-koppeling met de Identity Provider (IdP) van WL vindt plaats op basis van een gangbare open standaard, bij voorkeur OpenID Connect (OIDC) of SAML 2.0.

Alle communicatie tussen de browser van de gebruiker en de webwinkel vindt plaats via een versleutelde HTTPS-verbinding, waarbij gebruik wordt gemaakt van actuele en algemeen als veilig beschouwde TLS-protocollen en cryptografische instellingen.

Deze maatregelen zijn aantoonbaar gebaseerd op een erkend normenkader voor informatiebeveiliging, zoals ISO/IEC 27001 en ISO/IEC 27002, en sluiten aan bij de voor Opdrachtgever relevante eisen uit de BIO.

Deze maatregelen zijn aantoonbaar gebaseerd op een erkend normenkader voor informatiebeveiliging, zoals ISO/IEC 27001 en ISO/IEC 27002, en sluiten aan bij de voor Opdrachtgever relevante eisen uit de BIO.

NEN 7510 ipv ISO 27001, of als alternatief.

Uit de Nota van Inlichtingen I blijkt bijv. dat NEN 7510 als gelijkwaardig wordt beschouwd aan ISO 27001.

De NEN 7510 is in principe een verzwaring op de ISO 27001, en specifiek op de zorgsector gericht.

Ingeschakelde subverwerkers Naam en contactgegevens subverwerker KvK-nummer Uitbestede verwerkingen Toepassing zxzxzxz zxzxzxzxz Bijv: Hosting van de applicatie zxzxzxz Bijlage 2: Aantonen passend niveau van beveiliging Normenstelsel De verwerker werkt volgens een algemeen erkende norm voor informatiebeveiliging, te weten: ISO 27001 en ISO 27002 en is volgens deze norm gecertificeerd.

Deze taken betreffen in ieder geval: a. Het stelselmatig toetsen van de beheersmaatregelen en het treffen van adequate verbetermaatregelen indien de beheersmaatregelen ontoereikend zijn om het afgesproken beveiligingsniveau te borgen; b. Het inrichten, in stand houden en toepassen van een kwaliteitssysteem, teneinde de naleving van de BVO ook na wijzigingen te kunnen garanderen; c. Logisch beheren van de software, gegevens en andere middelen; d. Op eigen initiatief contact opnemen met Opdrachtgever, indien bevindingen uit een risicoanalyse of de kwaliteitsbeheersing van Opdrachtnemer daartoe aanleiding geven; e. Fysiek en/of logisch beheren van de gebruikte componenten; f. Beheren van registraties van autorisaties; g. Fysiek en/of logisch toekennen en intrekken van autorisaties; h. Beheren van apparatuur op afstand; i. Beheersen van de personele bezetting; Artikel 12 Bepalingen ten aanzien van Systemen (Hard- en Software) Artikel 12.1 Ontwikkeling van systemen conform SSD Opdrachtnemer voldoet aan de eisen uit Grip op Secure Software Development, ISO 27001:2017 en relevante controls van de ISO 27002:2017 ten aanzien van de software die ingezet wordt.

Opdrachtnemer draagt er, binnen de reikwijdte van zijn Dienst op grond van de Overeenkomst, zorg voor dat Opdrachtgever te allen tijde kan voldoen aan de volgende wetgeving en standaarden voor Informatiebeveiliging: a. Algemene Verordening Gegevensbescherming b. Wet Digitale Overheid/Wet Structuur Uitvoeringsorganisatie Werk en Inkomen c. Baseline Informatiebeveiliging Overheid /ISO 27001:2017/relevante controls ISO 27002:2017 d. Grip op Secure Software Development/Open Web Application Security Project 2.

Opdrachtnemer dient, voor de onder de Overeenkomst overeengekomen Diensten, op basis van ISO 27001:2017 (of gelijkwaardig), gecertificeerd te zijn en te blijven of over een aantoonbare gelijkwaardige baseline op het gebied van Informatiebeveiliging te beschikken.

Deze taken betreffen in ieder geval: a. Het stelselmatig toetsen van de beheersmaatregelen en het treffen van adequate verbetermaatregelen indien de beheersmaatregelen ontoereikend zijn om het afgesproken beveiligingsniveau te borgen; b. Het inrichten, in stand houden en toepassen van een kwaliteitssysteem, teneinde de naleving van de BVO ook na wijzigingen te kunnen garanderen; c. Logisch beheren van de software, gegevens en andere middelen; d. Op eigen initiatief contact opnemen met Opdrachtgever, indien bevindingen uit een risicoanalyse of de kwaliteitsbeheersing van Opdrachtnemer daartoe aanleiding geven; e. Fysiek en/of logisch beheren van de gebruikte componenten; f. Beheren van registraties van autorisaties; g. Fysiek en/of logisch toekennen en intrekken van autorisaties; h. Beheren van apparatuur op afstand; i. Beheersen van de personele bezetting; Artikel 12 Bepalingen ten aanzien van Systemen (Hard- en Software) Artikel 12.1 Ontwikkeling van systemen conform SSD Opdrachtnemer voldoet aan de eisen uit Grip op Secure Software Development, ISO 27001:2017 en relevante controls van de ISO 27002:2017 ten aanzien van de software die ingezet wordt.

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Het domein ‘infrastructuur’ omvat onder andere de bouwstenen ‘Diginetwerk’, ‘Digikoppeling’ en ‘PKIoverheid’.

Onder websites vallen ook intra- en extranetten en cloudapplicaties volgens de Europese definitie (zie digitoegankelijk.nl/aan-de-slag/tips/intranetten).

6.3 Normen en standaarden Nr. Standaard/norm Bronnen/referenties E1 Europese standaard EN 301 549 met WCAG 2.1 digitoegankelijk.nl en forumstandaardisatie.nl/standaard/ digitoegankelijk-en-301-549-met-wcag-21 6.4 Tips en toelichting 1.

Op digitoegankelijk.nl/wetgeving/wat-verplicht is beschreven welke verplichtingen gelden, o.a. voor het publiceren van een toegankelijkheidsverklaring. 3.

Alle overheidsorganisaties moeten ook via IPv6 bereikbaar zijn.

Om te voorkomen dat websites en apparaten onbereikbaar worden is Internet Protocol versie 6 (IPv6) ontwikkeld.

Zie: digitaleoverheid.nl/mido/ generieke-digitale-infrastructuur-gdi/ domein-infrastructuur/ G2 Ondersteunen IPv6 Richtlijnen voor IPv6: forumstandaardisatie.nl/open-standaarden/ ipv6-en-ipv4.

Informatiebeveiliging De inschrijver beschikt over een vastgelegd en gecertificeerd managementsysteem voor informatiebeveiliging (ISMS), dat periodiek wordt getoetst volgens ISO 27001 door een geaccrediteerde instelling. Van de inschrijver met de beste prijs-kwaliteitverhouding wordt gevraagd een kopie van het betreffende certificaat en de Verklaring van Toepasselijkheid (VVT) te overleggen.

Inschrijver verklaart in eerste instantie dat hij voldoet aan de geschiktheidseisen door middel van het invullen en indienen van de Eigen Verklaring. Bewijsstukken Geschiktheidseisen zoals in de volgende paragrafen omschreven - technische bekwaamheid, referenties: ingevulde referentieverklaring - technische bekwaamheid, informatiebeveiliging: kopie geldig ISO 27001 certificaat met verklaring van toepasselijkheid voor de af te nemen diensten (indien van toepassing ook voor combinanten en/of onderaannemers) In onderstaande paragrafen zijn bovengenoemde criteria verder uitgewerkt en staat beschreven hoe de inschrijver aan kan tonen geschikt te zijn voor de uitvoering van de werkzaamheden.

Aanbestedingsdocument GR Peelgemeenten – Applicatie schulddienstverlening 15 van 26 Informatiebeveiliging De inschrijver heeft een vastgelegd en gecertificeerd managementsysteem voor informatiebeveiliging (ISO 27001, NEN 7510 certificaat), dat periodiek door een geaccrediteerde instelling wordt getoetst. 3.4.

3.4 Beveiliging De infrastructuur en organisatie van de dienstverlener (inclusief rekencentra) zijn adequaat (en gecertificeerd) beveiligd volgens ISO/IEC 27001 en ISO/IEC 27002.

10.3 Normen en standaarden Nr. Standaard/norm Bronnen/referenties I1 EN16931 en NLCIUS forumstandaardisatie.nl/openstandaarden/nlcius 10.4 Tips en toelichting 1.

NLCIUS is een aanvullende nationale specificatie op EN16931 voor toepassing in Nederland.

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Ten opzichte van de StUF-standaarden sluiten deze API-standaarden beter aan bij door softwareontwikkelaars gebruikte industriestandaarden.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

De BIO2 is gebaseerd op de laatste versie van de ISO 27001 en de ISO 27002.

De BIO2 is gebaseerd op de laatste versie van de ISO 27001 en de ISO 27002.