TenderNed Standaardenmonitor

Opdrachtgever committeert zich aan het gebruik van de van toepassing zijnde en de verplichte standaarden van het Forum Standaardisatie in relatie tot de Low-code Oplossing. Het betreft de volgende streefbeeldafspraken informatieveiligheid conform https://www.forumstandaardisatie.nl/onderwerpen/veilig-internet/streefbeeldafspraken: • Ades Baseline Profiles De ‘AdES Baseline Profiles’ moeten worden toegepast op de ondertekening van XML-, CMS-, PDF- en ZIP-bestanden met geavanceerde en/of gekwalificeerde elektronische handtekeningen, zegels of tijdstempels.

Hogere eisen aan certificaten vloeien voort uit een risicoanalyse, aansluitvoorwaarden of wetgeving. 16 Overheidsmaatregelnummer Overheidsmaatregel 5.14.03 Geavanceerde en/of gekwalificeerde elektronische handtekeningen voldoen aan de Advanced Electronic Signatures (AdES Baseline Profiles), zoals opgenomen in de Lijst open standaarden van Forum Standaardisatie.

Security Assertion Markup Language (SAML): Een op XML gebaseerde standaard voor het uitwisselen van authenticatie- en autorisatiegegevens tussen domeinen.

De Low-code Oplossing ondersteunt minimaal de volgende mogelijkheden voor het beveiligen van API's en/of webservices: • TLS 1.3; • OAuth, SAML, OIDC (ondersteunt of mogelijkheid om in te bouwen); • Encryptie (door het Low-code Oplossing).

ICT begrippenlijst | Low-code oplossing | IUC IUC25-011 Belastingdienst | 15 april 2026 pagina 3 van 18 Afkorting Begrip OWASP Open Web Application Security Project Prio Prioriteit PVA Plan van aanpak QT Quantumtechnologie RBAC Role Based Access Control RDMMS Relational Database Management Systemen RPO Recovery Point Objective RTO Recovery Time Objective SAML Security Assertion Markup Language SBOM Software Bill Of Materials SLA Service Level Agreement SOW Statement of Work SPOC Single Point of Contact SSL Secure Socket Layer SSO Single Sign-On TLS Transport Layer Security UE Uitvoeringseis UEA Uniform Europees Aanbestedingsdocument VE Vormeis/Vormvereiste Bijlage 1.

• Digikoppeling Digikoppeling moet worden toegepast bij digitale gegevensuitwisseling die plaatsvindt met voorzieningen die onderdeel zijn van de GDI, waaronder de basisregistraties, of die sector overstijgend is.

Geautomatiseerde gegevensuitwisseling tussen informatiesystemen op basis van NEN3610 is uitgesloten van het functioneel toepassingsgebied. • Digitoegankelijk (EN 301 549 met WCAG 2.1) Digitoegankelijk (EN 301 549 met WCAG 2.1) moet worden toegepast op het aanbieden van webgebaseerde informatie-, interactie-, transactie- en participatiediensten.

• HTTPS en HSTS HTTPS en HSTS moeten worden toegepast op de communicatie tussen clients (zoals webbrowsers) en servers voor alle websites en webservices.

• IPv6 IPv6 moet op digitale diensten en op netwerken en apparaten worden toegepast. Dit betekent ten eerste dat digitale diensten, zoals websites en e-mailservers, bereikbaar moeten zijn via IPv6.

Ten tweede betekent dit dat netwerken IPv6 moeten aanbieden en dat apparaten zo moeten worden geconfigureerd dat IPv6 wordt gebruikt indien aangeboden.

In veel gevallen zal het vanwege interoperabiliteit noodzakelijk blijven om naast IPv6 ook IPv4 toe te passen.

Deze regelgeving is gebaseerd op de NEN/ISO 27001:2017 en de NEN/ISO 27002:2022, en bevat daarnaast aanvullende beveiligingseisen.

De BIO2 beschrijft de invulling van NEN-EN-ISO/IEC 27001:2023 en NEN-EN-ISO/IEC 27002:2022 voor de overheid.

Contextbepaling NEN-EN-ISO/IEC 27001 vereist dat een entiteit eerst haar context vaststelt om relevante informatiebeveiligingsrisico’s te identificeren.

Deze regelgeving is gebaseerd op de NEN/ISO 27001:2017 en de NEN/ISO 27002:2022, en bevat daarnaast aanvullende beveiligingseisen.

NEN-EN-ISO/IEC 27001 en NEN-EN-ISO/IEC 27002 beschrijven de details voor implementatie (richtlijnen) en eisen voor de procesinrichting (onder andere het ISMS uit NEN-EN-ISO/IEC 27001).

Het gebruik van informatie uit NEN-EN-ISO/IEC 27001 en NEN-EN-ISO/IEC 27002 in de BIO is auteursrechtelijk beschermd.

• NL GOV Assurance Profile for OAuth 2.0 NL GOV Assurance Profile for OAuth 2.0 moet worden toegepast bij applicaties waarbij gebruikers of ‘resource owners’ impliciet of expliciet toestemming geven aan een dienst van een derde om namens deze toegang te krijgen tot Data via een REST API waarvoor ze recht van toegang hebben.

De Low-code Oplossing ondersteunt minimaal de volgende mogelijkheden voor het beveiligen van API's en/of webservices: • TLS 1.3; • OAuth, SAML, OIDC (ondersteunt of mogelijkheid om in te bouwen); • Encryptie (door het Low-code Oplossing).

Transport Layer Security (TLS): Een cryptografisch protocol die Gegevens codeert en een verbinding verifieert bij het overdragen van Data via het internet.

ICT begrippenlijst | Low-code oplossing | IUC IUC25-011 Belastingdienst | 15 april 2026 pagina 3 van 18 Afkorting Begrip OWASP Open Web Application Security Project Prio Prioriteit PVA Plan van aanpak QT Quantumtechnologie RBAC Role Based Access Control RDMMS Relational Database Management Systemen RPO Recovery Point Objective RTO Recovery Time Objective SAML Security Assertion Markup Language SBOM Software Bill Of Materials SLA Service Level Agreement SOW Statement of Work SPOC Single Point of Contact SSL Secure Socket Layer SSO Single Sign-On TLS Transport Layer Security UE Uitvoeringseis UEA Uniform Europees Aanbestedingsdocument VE Vormeis/Vormvereiste Bijlage 1.

17 Bijlage 3 · ICT.06, IBV.41, IBV.42, AR.08 Is OpenID Connect toegestaan in plaats van SAML 2.0?

ICT.06 vereist een IAM-koppeling met SAML 2.0, terwijl AR.08 het NL GOV Assurance Profile for OAuth 2.0 voorschrijft en IBV.41 spreekt over Entra ID-accounts.

SAML 2.0 is niet verplicht wanneer een aantoonbaar gelijkwaardige en actuele methode wordt toegepast. 2.

In het bijzonder: zijn DNSSEC, RPKI, IPv6 en STARTTLS/DANE vereist op het domein en maildomein van Opdrachtnemer?

De open standaarden gelden naar hun aard en voor zover zij van toepassing zijn op het betreffende onderdeel van de dienstverlening. DNSSEC, RPKI en IPv6 gelden voor de door leverancier beheerde internetinfrastructuur waarop de oplossing wordt aangeboden.

Met WR 2 wordt WCAG 2.1 niveau AA bedoeld.

WR 2 vereist WCAG 2.1 "op niveau B".

In het bijzonder: zijn DNSSEC, RPKI, IPv6 en STARTTLS/DANE vereist op het domein en maildomein van Opdrachtnemer?

De open standaarden gelden naar hun aard en voor zover zij van toepassing zijn op het betreffende onderdeel van de dienstverlening. DNSSEC, RPKI en IPv6 gelden voor de door leverancier beheerde internetinfrastructuur waarop de oplossing wordt aangeboden.

Kan Aanbestedende dienst bevestigen of een lopend ISO 27001-certificeringstraject, met een reeds geplande certificeringsaudit eind 2026, voldoet aan eis IBV.01?

Na voorlopige gunning moet een geldig ISO 27001- certificaat, of een aantoonbaar gelijkwaardig certificaat binnen de relevante scope van de aangeboden dienstverlening, worden overgelegd.

Een lopend ISO 27001-certificeringstraject is op zichzelf onvoldoende.

ICT.06 vereist een IAM-koppeling met SAML 2.0, terwijl AR.08 het NL GOV Assurance Profile for OAuth 2.0 voorschrijft en IBV.41 spreekt over Entra ID-accounts.

En zijn het NL GOV Assurance Profile for OAuth 2.0 en het NL GOV-profiel voor CloudEvents verplicht voor het API-koppelvlak van de Oplossing, of volstaat een RESTful koppelvlak conform de REST API Design Rules met OAuth 2.0 / OpenID Connect?

En zijn het NL GOV Assurance Profile for OAuth 2.0 en het NL GOV-profiel voor CloudEvents verplicht voor het API-koppelvlak van de Oplossing, of volstaat een RESTful koppelvlak conform de REST API Design Rules met OAuth 2.0 / OpenID Connect?

Voor API’s gelden de REST API Design Rules en OAuth 2.0/OpenID Connect; het NL GOVprofiel voor CloudEvents is alleen vereist wanneer daadwerkelijk met CloudEvents wordt gewerkt.

In het bijzonder: zijn DNSSEC, RPKI, IPv6 en STARTTLS/DANE vereist op het domein en maildomein van Opdrachtnemer?

De open standaarden gelden naar hun aard en voor zover zij van toepassing zijn op het betreffende onderdeel van de dienstverlening. DNSSEC, RPKI en IPv6 gelden voor de door leverancier beheerde internetinfrastructuur waarop de oplossing wordt aangeboden.

In het bijzonder: zijn DNSSEC, RPKI, IPv6 en STARTTLS/DANE vereist op het domein en maildomein van Opdrachtnemer?

STARTTLS en DANE gelden alleen wanneer leverancier voor de dienstverlening zelf emailvoorzieningen beheert.