TenderNed Standaardenmonitor

6.8 Veilige toegang moet mogelijk zijn via bijvoorbeeld HTTPS en versleutelde API’s. 6.9 De Oplossing moet kunnen integreren met de bestaande voorzieningen voor Single SignOn (SSO) en Multi-Factor Authenticatie (MFA) van de organisatie, waaronder Microsoft Entra ID, zodat toegang tot en beheer van de Oplossing conform de geldende beveiligingsmaatregelen van de organisatie kan plaatsvinden.

6.13 De IT-Oplossing ondersteunt zowel het IPv4 als het IPv6.

6.4 Informatiebeveiliging Geschiktheidseis 3: Informatiebeveiliging Een Inschrijver dient, op straffe van uitsluiting van de aanbestedingsprocedure, aan te tonen dat zij voldoet aan de norm voor informatiebeveiliging conform ISO 27001: 2022 of ISO 27001:2017.

Een geldig certificaat conform de norm ISO 27001: 2017 of ISO 27001:2022 afgegeven door een certificerende instelling die is erkend door de Raad van Accreditatie.

Een geldig certificaat dat minimaal gelijkwaardig is aan de ISO 27001: 2017 of ISO 27001:2022 norm en is afgegeven door een certificerende instelling die is erkend door de Raad van Accreditatie.

Hierbij wordt minimaal gebruik gemaakt van AES-256 en de meest recente ICTbeveiligingsrichtlijnen voor Transport Layer Security (TLS) van het NCSC worden gevolgd.

Indien Leverancier gebruik maakt van een gepersonaliseerde omgeving in de catalogus worden gebruikers geauthentiseerd via SAML 2.0 of OAUTH2+OpenID.

ISO 27001-certificering wordt dan ook niet als aanvullende geschiktheidseis opgenomen.

HU Gegevensuitwisselingsovereenkomst 2026 7/10 ALDUS OVEREENGEKOMEN DOOR PARTIJEN: [PARTIJ I] [PARTIJ II] _____/_____/___________ _____/_____/___________ Datum Datum ______________________ ______________________ Naam Naam _____________________ ______________________ Handtekening Handtekening HU Gegevensuitwisselingsovereenkomst 2026 8/10 Bijlage A: Specificatie van de gegevensuitwisseling Omschrijving en Doeleinden van de Verwerking (incl. evt. specifieke verwerkingen o.g.v. art. 4.5) (in te vullen door Verwerkingsverantwoordelijken) Categorieën Betrokkenen (in te vullen door Verwerkingsverantwoordelijken) Categorieën Persoonsgegevens (in te vullen door Verwerkingsverantwoordelijken) Bewaartermijn van Persoonsgegevens of de criteria om die vast te stellen (enkel invullen indien van toepassing) Type informatie Bewaartermijn (+ toelichting) Contactgegevens Algemene contactgegevens Naam Functie Emailadres Telefoonnummer Verwerkingsverantwoordelijke I Verwerkingsverantwoordelijke II HU Gegevensuitwisselingsovereenkomst 2026 9/10 Contactgegevens bij Inbreuk in verband met Persoonsgegevens Naam Functie E-mail adres Telefoonnum mer [Partij I] (in te vullen door Verwerkingsverantwoordelijke) [Partij II] (in te vullen door Verwerkingsverantwoordelijke) Datum bijlage: [DATUM] HU Gegevensuitwisselingsovereenkomst 2026 10/10 Bijlage B: Beveiligingsmaatregelen Certificaten Verwerkingsverantwoordelijken beschikken over de volgende geldige certificaten of verklaringen van een deskundige derde waaruit blijkt dat Verwerkingsverantwoordelijken voldoen aan hun verplichting de Persoonsgegevens die zij verwerken adequaat te beveiligen: Naam Naam of nummer Toepassingsgebied Geldigheidsduur [Partij I] (in te vullen door Verwerkingsverantwoordelijke) bijv. ISO 27001, NEN 7510, SOC 2 [Partij II] (in te vullen door Verwerkingsverantwoordelijke) Verwerkingsverantwoordelijken dragen ervoor zorg dat zij gedurende deze Gegevensuitwisselingsovereenkomst blijven beschikken over bovenstaande certificaten of een gelijkwaardige opvolger daarvan met een nieuwe geldigheidsduur.

Leverancier zorgt dat verbinding tussen de aangeboden applicatie en de gekoppelde systemen o.b.v. de algemeen geaccepteerde secure versie van het encryptie protocol zijn te beveiligen (in 2017 is dat TLS 1.2).

© 2024, Erasmus MC, ICT Services Pagina 11/23 Datum 15 april 2025 Hoofdstuk Aansluitvoorwaarden netwerkinfrastructuur Titel Aansluitvoorwaarden Erasmus MC Infrastructuur 2.3.3 Transport Layer Security (TLS) De versie van het TLS protocol moet minimaal v1.2 of hoger zijn.

© 2024, Erasmus MC, ICT Services 1/23 Document Aansluitvoorwaarden Erasmus MC Infrastructuur Versie 11.2 Datum 15 april 2025 Opsteller(s) Pieter van Dorp, Lars Hameeteman, Jasper Klaren, Danjan Mudde Beheerder(s) Pieter van Dorp en Danjan Mudde Opdrachtgever Bob Maas Aansluitvoorwaarden Erasmus MC Infrastructuur © 2024, Erasmus MC, ICT Services Pagina 2/23 Datum 15 april 2025 Titel Aansluitvoorwaarden Erasmus MC Infrastructuur Inhoudsopgave 1 Algemeen 5 1.1 Doel 5 1.2 Vaststelling en wijziging 5 1.2.1 Aansluitvoorwaarden 5 1.2.2 Uitzonderingen 5 1.3 Publicatie 5 2 Aansluitvoorwaarden netwerkinfrastructuur 6 2.1 Leeswijzer 6 2.2 Algemene aansluitvoorwaarden 7 2.2.1 Het netwerk van het Erasmus MC is onderverdeeld in netwerkzones (geïmplementeerd als zgn. VRF’s), waarvan de belangrijkste zijn: 7 2.2.2 NAC Netwerk Access Control (802.1x) 9 2.3 Protocollen 10 2.3.1 Algemeen 10 2.3.2 Netbios 10 2.3.3 Transport Layer Security (TLS) 11 2.3.4 Lightweight Directory LDAP 11 2.3.5 Server Message Block (SMB) 11 2.4 Aansluitvoorwaarden voor clients op het draadgebonden LAN 11 2.4.1 Algemeen 11 2.4.2 Netwerkaansluiting 11 2.4.3 Regels ten aanzien van inrichting en gebruik 12 2.5 Aansluitvoorwaarden voor systemen op draadloze LANs 13 2.5.1 Algemeen 13 2.5.2 Structuur 13 2.5.3 Algemene aansluitvoorwaarden WLANs 14 2.5.4 Aansluitvoorwaarden voor clients op SSID ‘ErasmusMC’ 15 2.5.5 Aansluitvoorwaarden voor de SSID’s ‘Voip-messaging(-a)’, ‘Patmon’ en ‘Med-App’ 15 2.5.6 Aansluitvoorwaarden voor SSID=‘eduroam’ 16 2.5.7 Aansluitvoorwaarden voor SSID=‘Hotspot’ 16 2.6 Aansluitvoorwaarden voor fysieke en virtuele servers 17 2.6.1 Algemeen 17 2.6.2 Aansluitvoorwaarden voor Windows servers 17 2.6.3 Aansluitvoorwaarden voor Databases 18 2.7 Aansluitvoorwaarden voor externe toegang 19 © 2024, Erasmus MC, ICT Services Pagina 3/23 Datum 15 april 2025 Titel Aansluitvoorwaarden Erasmus MC Infrastructuur 3 Toezicht op naleven van de aansluitvoorwaarden en sancties 20 3.1 Toezichthouder 20 3.2 Overtreding aansluitvoorwaarden 20 3.3 Aansprakelijkheid 20 4 Appendix A: Literatuurlijst 21 5 Appendix B: Verklarende afkortingen en woordenlijst 22 © 2024, Erasmus MC, ICT Services Pagina 4/23 Datum 15 april 2025 Hoofdstuk Algemeen Titel Aansluitvoorwaarden Erasmus MC Infrastructuur Revisiedatum: 27-3-2025 Versiebeheer: Versie datum Versie Samenvatting van de aanpassing Uitgevoerd door 8-4-2021 10.1 802.1x en DNS naamgeving Danjan Mudde 01-09-2022 10.2 Toevoeging van beschrijving toestaan Multicast binnen netwerk Danjan Mudde 01-09-2022 10.2 Hoofdstuk nummering aangepast Danjan Mudde 16-01-2023 10.3 Onder kopje Netwerkaansluiting Power Over Ethernet eis toegevoegd Danjan Mudde 12-5-2023 10.4 WOL niet meer mogelijk na introductie 802.1x met dynamische VLAN toewijzing Danjan Mudde 29-8-2024 11.0 Toevoeging TLS protocollen Danjan Mudde 27-3-2025 11.1 - Aanpassing bescherming anti virus en mallware - Voorkeur verbinden op 5 GHz Danjan Mudde 15-4-2026 11.2 - Div.

TLS Transport Layer Security (TLS) is een cryptografisch protocol dat is ontworpen om communicatiebeveiliging te bieden via een computernetwerk.

Gebruik van WPA2-Enterprise is verplicht, behoudens door ICT Services goedgekeurde uitzonderingen per SSID.

Twee management systemen inrichten en erop nahouden voor een (overheid)organisatie is ondoenlijk en uitgaande van de overheidssituatie dat een overheidsorgaan altijd de kantooromgeving als thuisbasis heeft van waaruit andere activiteiten worden ontplooid, ligt het meer voor de hand om de BIO en het bijbehorende ISMS (eigenlijk het zuivere ISO 27001 framework) als basis te gebruiken voor het management systeem en deze te vullen met de relevante controls en maatregelen uit de IEC 62443 maar ook uit andere bronnen om de risico’s binnen het werkveld van IA te kunnen mitigeren.

BIO Baseline beveiliging IA/PA/OT IEC 62443 CSIR 2.0 Stap 2 BIO/ISO 27001 controls linken aan CSIR en verantwoorden Pagina 9 van 140 RWS INFORMATIE |Cybersecurity Implementatierichtlijn Objecten | 23 april 2021 Om te kunnen bepalen of de Baseline beveiliging IA toereikend is of dat er nog meer aanvullende maatregelen moeten worden getroffen bovenop de baseline beveiliging IA dient altijd een risicoanalyse en afweging gemaakt te worden voor het definiëren van de plus set aan maatregelen boven op de baseline beveiliging IA.

Bron: NEN-ISO/IEC 27001 (nl) Informatietechnologie - Beveiligingstechnieken - Managementsystemen voor informatiebeveiliging - Eisen (ISO/IEC 27001:2017 en,IDT) Pagina 99 van 140 RWS INFORMATIE |Cybersecurity Implementatierichtlijn Objecten | 23 april 2021 Attribuut Definitie Schrijfwijze Object ID Invullen door RWS Bron ID (Uniek ID zoals geregistreerd bij opdrachtnemer) Plaats Waar kan de beheerdocumentatie worden gevonden?

CY010 CY140 Indien bijlage N “Cybersecurity Implementatierichtlijn Objecten bij deze Vraagspecificatie Proces niet voorziet in cybersecuritymaatregelen voor de invulling van de cybersecurity eisen, dan dient de Opdrachtnemer de NEN-ISO/IEC 27002 (Code voor Informatiebeveiliging) en/of delen van de IEC 62443 standaards (Industrial Automation and Control Systems (IACS) Security) te volgen.

Bestaande tekeningen in RTW, die wijzigen door het Werk, dienen omgezet te worden naar NLCS.

De Opdrachtnemer dient de as-built bestanden en tekeningen te leveren conform de volgende specificaties:  Bestandsformaat: inleesbaar inAutoCAD Map 3D 2017;  Tekeningenformaat: opgebouwd conform NLCS (Nederlandse CAD standaard).

Bestaande tekeningen, die niet conform NLCS zijn opgebouwd dienen, als daar kleine aanpassingen op plaatsvinden, niet te worden omgezet naar NLCS.

Indien het Systeem geen veilig communicatieprotocol ondersteunt dan mag enkel gemotiveerd en na goedkeuring door de Opdrachtgever het X X X X Pagina 25 van 140 RWS INFORMATIE |Cybersecurity Implementatierichtlijn Objecten | 23 april 2021 onveilige communicatieprotocol worden ingezet, mits er een additioneel versleuteld kanaal wordt toegepast (SSL, TLS, IPSEC etc.). De gekozen versleuteling en de onderliggende algoritmes en instellingen dienen dan uitsluitend de duiding “goed” te hebben zoals aangegeven in de meest actuele versie van het NCSC document “Richtlijnen voor Transport Layer Security”.

Niet alleen de logserver dient te worden geconfigureerd op een tijdserver, maar ook alle aangesloten componenten zoals PLC’s welke logregels genereren op de logserver; l. Indien mogelijk dient Transport Layer Security (TLS) via TCP op poort 6514 gebruikt te worden (RFC 5425).

Vereiste Weerstandsniveau 1 2 3 4 CT1 Bij inzet van versleuteling (cryptografie) dient de gekozen versleuteling en de onderliggende algoritmes en instellingen uitsluitend de duiding “goed” te hebben zoals aangegeven in de meest actuele versie van het NCSC document “Richtlijnen voor Transport Layer Security”.

In de huidige situatie betreft dit: Minimaal wordt TLS 1.2 gehanteerd.

Waar mogelijk wordt al TLS 1.3 toegepast."

De ICT-beveiligingsrichtlijnen voor Transport Layer Security (TLS) van het NCSC wordt nageleefd.

De infrastructuur en organisatie van de Opdrachtnemer zijn adequaat beveiligd volgens ISO 27001.

Opdrachtnemer is bij gunning gecertificeerd voor ISO 27001 en overhandigt het certificaat met verklaring van toepasselijkheid ten tijde van het sluiten van de Raamovereenkomst. Elk van de gevraagde certificaten/rapportages dient opgeleverd te worden als Nederlandstalig document.

De infrastructuur en organisatie van de Opdrachtnemer zijn adequaat beveiligd volgens ISO 27001.

Zie hiervoor: https://www.ncsc.nl/documenten/publicaties/2019/mei/01/ictbev eiligingsrichtlijnen-voor-webapplicaties (gebruik de meest recente versie van de publicatie (op dit moment de versie 2024) • De actuele vereisten gesteld in de NCSC ICT-beveiligingsrichtlijnen voor Transport Layer Security (TLS) • Toegankelijk en compatible met de meest recente versie van Mozilla Firefox, Google Chrome, Safari, Microsoft Edge Chromium • Enkel door Opdrachtgever geautoriseerde medewerkers krijgen toegang tot de webapplicatie die voorzien is van Multi Factor Authenticatie.

Zie hiervoor: https://www.ncsc.nl/documenten/publicaties/2019/mei/01/ictbev eiligingsrichtlijnen-voor-webapplicaties (gebruik de meest recente versie van de publicatie (op dit moment de versie 2024) • De actuele vereisten gesteld in de NCSC ICT-beveiligingsrichtlijnen voor Transport Layer Security (TLS) • Toegankelijk en compatible met de meest recente versie van Mozilla Firefox, Google Chrome, Safari, Microsoft Edge Chromium • Enkel door Opdrachtgever geautoriseerde medewerkers krijgen toegang tot de webapplicatie die voorzien is van Multi Factor Authenticatie.

Opdrachtgever committeert zich aan het gebruik van de van toepassing zijnde en de verplichte standaarden van het Forum Standaardisatie in relatie tot de Low-code Oplossing. Het betreft de volgende streefbeeldafspraken informatieveiligheid conform https://www.forumstandaardisatie.nl/onderwerpen/veilig-internet/streefbeeldafspraken: • Ades Baseline Profiles De ‘AdES Baseline Profiles’ moeten worden toegepast op de ondertekening van XML-, CMS-, PDF- en ZIP-bestanden met geavanceerde en/of gekwalificeerde elektronische handtekeningen, zegels of tijdstempels.

Hogere eisen aan certificaten vloeien voort uit een risicoanalyse, aansluitvoorwaarden of wetgeving. 16 Overheidsmaatregelnummer Overheidsmaatregel 5.14.03 Geavanceerde en/of gekwalificeerde elektronische handtekeningen voldoen aan de Advanced Electronic Signatures (AdES Baseline Profiles), zoals opgenomen in de Lijst open standaarden van Forum Standaardisatie.

Security Assertion Markup Language (SAML): Een op XML gebaseerde standaard voor het uitwisselen van authenticatie- en autorisatiegegevens tussen domeinen.

De Low-code Oplossing ondersteunt minimaal de volgende mogelijkheden voor het beveiligen van API's en/of webservices: • TLS 1.3; • OAuth, SAML, OIDC (ondersteunt of mogelijkheid om in te bouwen); • Encryptie (door het Low-code Oplossing).

ICT begrippenlijst | Low-code oplossing | IUC IUC25-011 Belastingdienst | 15 april 2026 pagina 3 van 18 Afkorting Begrip OWASP Open Web Application Security Project Prio Prioriteit PVA Plan van aanpak QT Quantumtechnologie RBAC Role Based Access Control RDMMS Relational Database Management Systemen RPO Recovery Point Objective RTO Recovery Time Objective SAML Security Assertion Markup Language SBOM Software Bill Of Materials SLA Service Level Agreement SOW Statement of Work SPOC Single Point of Contact SSL Secure Socket Layer SSO Single Sign-On TLS Transport Layer Security UE Uitvoeringseis UEA Uniform Europees Aanbestedingsdocument VE Vormeis/Vormvereiste Bijlage 1.

• Digikoppeling Digikoppeling moet worden toegepast bij digitale gegevensuitwisseling die plaatsvindt met voorzieningen die onderdeel zijn van de GDI, waaronder de basisregistraties, of die sector overstijgend is.

Geautomatiseerde gegevensuitwisseling tussen informatiesystemen op basis van NEN3610 is uitgesloten van het functioneel toepassingsgebied. • Digitoegankelijk (EN 301 549 met WCAG 2.1) Digitoegankelijk (EN 301 549 met WCAG 2.1) moet worden toegepast op het aanbieden van webgebaseerde informatie-, interactie-, transactie- en participatiediensten.

• HTTPS en HSTS HTTPS en HSTS moeten worden toegepast op de communicatie tussen clients (zoals webbrowsers) en servers voor alle websites en webservices.

• IPv6 IPv6 moet op digitale diensten en op netwerken en apparaten worden toegepast. Dit betekent ten eerste dat digitale diensten, zoals websites en e-mailservers, bereikbaar moeten zijn via IPv6.

Ten tweede betekent dit dat netwerken IPv6 moeten aanbieden en dat apparaten zo moeten worden geconfigureerd dat IPv6 wordt gebruikt indien aangeboden.

In veel gevallen zal het vanwege interoperabiliteit noodzakelijk blijven om naast IPv6 ook IPv4 toe te passen.

Deze regelgeving is gebaseerd op de NEN/ISO 27001:2017 en de NEN/ISO 27002:2022, en bevat daarnaast aanvullende beveiligingseisen.

De BIO2 beschrijft de invulling van NEN-EN-ISO/IEC 27001:2023 en NEN-EN-ISO/IEC 27002:2022 voor de overheid.

Contextbepaling NEN-EN-ISO/IEC 27001 vereist dat een entiteit eerst haar context vaststelt om relevante informatiebeveiligingsrisico’s te identificeren.

Deze regelgeving is gebaseerd op de NEN/ISO 27001:2017 en de NEN/ISO 27002:2022, en bevat daarnaast aanvullende beveiligingseisen.

NEN-EN-ISO/IEC 27001 en NEN-EN-ISO/IEC 27002 beschrijven de details voor implementatie (richtlijnen) en eisen voor de procesinrichting (onder andere het ISMS uit NEN-EN-ISO/IEC 27001).

Het gebruik van informatie uit NEN-EN-ISO/IEC 27001 en NEN-EN-ISO/IEC 27002 in de BIO is auteursrechtelijk beschermd.

• NL GOV Assurance Profile for OAuth 2.0 NL GOV Assurance Profile for OAuth 2.0 moet worden toegepast bij applicaties waarbij gebruikers of ‘resource owners’ impliciet of expliciet toestemming geven aan een dienst van een derde om namens deze toegang te krijgen tot Data via een REST API waarvoor ze recht van toegang hebben.

De Low-code Oplossing ondersteunt minimaal de volgende mogelijkheden voor het beveiligen van API's en/of webservices: • TLS 1.3; • OAuth, SAML, OIDC (ondersteunt of mogelijkheid om in te bouwen); • Encryptie (door het Low-code Oplossing).

Transport Layer Security (TLS): Een cryptografisch protocol die Gegevens codeert en een verbinding verifieert bij het overdragen van Data via het internet.

ICT begrippenlijst | Low-code oplossing | IUC IUC25-011 Belastingdienst | 15 april 2026 pagina 3 van 18 Afkorting Begrip OWASP Open Web Application Security Project Prio Prioriteit PVA Plan van aanpak QT Quantumtechnologie RBAC Role Based Access Control RDMMS Relational Database Management Systemen RPO Recovery Point Objective RTO Recovery Time Objective SAML Security Assertion Markup Language SBOM Software Bill Of Materials SLA Service Level Agreement SOW Statement of Work SPOC Single Point of Contact SSL Secure Socket Layer SSO Single Sign-On TLS Transport Layer Security UE Uitvoeringseis UEA Uniform Europees Aanbestedingsdocument VE Vormeis/Vormvereiste Bijlage 1.

[Aquo Lex en Objectencatalogus] DEFINITIEF |Eisen Bovenbouw | 01-07-2024 Vertrouwelijkheid: RWS INFORMATIE Pagina 63 van 68 Begrip Definitie [en bron] Langshelling Hoek tussen de as van de weg en de horizontaal, uitgedrukt in de tangens van die hoek.

[Aquo Lex en Objectencatalogus] Toelichting: Vaak een direct onder de deklaag van een asfaltverharding gelegen asfaltbetonlaag.

[Aquo Lex en Objectencatalogus] DEFINITIEF |Eisen Bovenbouw | 01-07-2024 Vertrouwelijkheid: RWS INFORMATIE Pagina 69 van 74 Begrip Definitie [en bron] Langshelling Hoek tussen de as van de weg en de horizontaal, uitgedrukt in de tangens van die hoek.

Het koppelvlak scant inkomende en uitgaande e-mail op schadelijke of anderszins ongewenste inhoud middels verschillende beveiligingsvoorzieningen: • Reputatie filtering: Het blokkeren van connecties van nodes op internet die bekend staan om ongewenst gedrag, zoals bekende bronnen van spam en malware; • Relay bescherming: alleen relayen van uitgaande e-mail vanaf (RWS) hosts die geautoriseerd zijn om email via de relay te mogen uitsturen; • Afzender controle: wanneer een afzendend domein een SPF DNS record heeft, zal de Mail Relay de daarin opgenomen policy honoreren; • Bericht integriteitscontrole: via berichtondertekening uit naam van het domein (DKIM) beveiligde berichten worden gecontroleerd op authenticiteit en integriteit; • Versleuteling van e-mailtransport; • Adres controle: alleen e-mail voor bestaande RWS domeinen wordt verwerkt.

DNSSEC signing van RWS domeinen wordt niet ondersteund; • Logging van DNS requests en failures; • Dynamische zone updates als gevolg van IP adrestoekenning via DHCP (Dynamic DNS, ofwel DDNS) worden genegeerd.

 %&'()*+,+-./01&234567 89/9/7)+,+-?/0@5'9A9B9B9B0.:9 ;<=           !       %C'()*+,+-./01@5'9/9B9.0-7)+,+-?/0@5'9-9B9B:9 D  EF   $              G   " H!I   J !I    GKL>DH    I  I       GML>H  $  N   N   I   !

• Gebruikersauthenticatie met een RSA token; • Gebruikersauthenticatie met SMS One Time Password (OTP); • User account synchronisatie met RWS Active Directory ldap(s); • Selfservice voor RSA tokens (HTTPS).

Tevens dient maximaal te worden geprofiteerd van overerving uit (default) settings; • RWS stelt de profielnaam vast; • De aanvrager (geprocedeerde) is verantwoordelijk voor de inzet c.q. gebruik; • De gebruiker (bv gedelegeerd beheerder) is verantwoordelijk voor het veilig omgaan met de informatie en de toegangsmiddelen; • De gedelegeerde beheerder is zelf verantwoordelijk voor verstoringen op de keten die voortvloeien vanuit aanpassingen die worden gedaan door de beheerder zelf; • RWS is verantwoordelijk voor het aan KPN DO RWS verstrekken van geldige digitale certificaten (PKI) voor de HTTPS ontsluiting van de ‘gedelegeerd beheer’ functie.

De dienst maakt gebruik van High Available DNS, een centraal management systeem en gecentraliseerde logging en levert de volgende functies: • Centrale DNS dienst ten behoeve van interne- en externe resolving en hosting van DNS domeinen; • Centraal beheren van gedecentraliseerde DNS resolvers in de RWS verkeerscentrales (POP locaties); • DNS Forwarding, bedoeld om DNS query’s te forwarden voor externe DNS namen op externe DNS servers, buiten het RWS domein; • Zoveel mogelijk generieke DNS configuratie, waarbij het mogelijk is per zone te kiezen voor voorkeuren maar centraal beheer mogelijk is; Inherent High Available (één virtual DNS IP nummer per cluster); • Mogelijkheid tot opzetten van een terminal connectie met een seriële poort en een console verbinding; • Geschikt voor IPv6, geïmplementeerd op basis van Iv4; • Logging van beheerhandelingen, DNS requests en failures wordt verstuurd naar centrale syslog servers.

2.3.4 OSI-laag 3 NNV levert voor het LAN OSI-laag 3 functionaliteit op basis van het IPv4 protocol en in de toekomst tevens op basis van het IPv6 protocol.

2.4.4 OSI-laag 3 De NNV beheerorganisatie levert voor het LAN OSI-laag 3 functionaliteit op basis van het IPv4 protocol en in de toekomst tevens op basis van het IPv6 protocol.

Twee management systemen inrichten en erop nahouden voor een (overheid)organisatie is ondoenlijk en uitgaande van de overheidssituatie dat een overheidsorgaan altijd de kantooromgeving als thuisbasis heeft van waaruit andere activiteiten worden ontplooid, ligt het meer voor de hand om de BIO en het bijbehorende ISMS (eigenlijk het zuivere ISO 27001 framework) als basis te gebruiken voor het management systeem en deze te vullen met de relevante controls en maatregelen uit de IEC 62443 maar ook uit andere bronnen om de risico’s binnen het werkveld van IA te kunnen mitigeren.

BIO IEC 62443 Baseline beveiliging IA/PA/OT CSIR 2.0 Stap 2 BIO/ISO 27001 controls linken aan CSIR en verantwoorden Pagina 8 van 139 RWS INFORMATIE |Cybersecurity Implementatierichtlijn Objecten | 23 april 2021 Om te kunnen bepalen of de Baseline beveiliging IA toereikend is of dat er nog meer aanvullende maatregelen moeten worden getroffen bovenop de baseline beveiliging IA dient altijd een risicoanalyse en afweging gemaakt te worden voor het definiëren van de plus set aan maatregelen boven op de baseline beveiliging IA.

Bron: NEN-ISO/IEC 27001 (nl) Informatietechnologie - Beveiligingstechnieken - Managementsystemen voor informatiebeveiliging - Eisen (ISO/IEC 27001:2017 en,IDT) Pagina 98 van 139 RWS INFORMATIE |Cybersecurity Implementatierichtlijn Objecten | 23 april 2021 Attribuut Definitie Schrijfwijze Object ID Invullen door RWS Bron ID (Uniek ID zoals geregistreerd bij opdrachtnemer) Plaats Waar kan de beheerdocumentatie worden gevonden?

Bestaande tekeningen in RTW, die wijzigen door het Werk, dienen omgezet te worden naar NLCS.

De Opdrachtnemer dient de as-built bestanden en tekeningen te leveren conform de volgende specificaties: RWS Informatie Pagina 91 van 104 Vraagspecificatie Proces | Zaaknummer: 31187282 / 31203014 | 24-10-2024 • Bestandsformaat: inleesbaar inAutoCAD Map 3D 2022; • Tekeningenformaat: opgebouwd conform NLCS (Nederlandse CAD standaard).

Vereiste Weerstandsniveau 1 2 3 4 CT1 Bij inzet van versleuteling (cryptografie) dient de gekozen versleuteling en de onderliggende algoritmes en instellingen uitsluitend de duiding “goed” te hebben zoals aangegeven in de meest actuele versie van het NCSC document “Richtlijnen voor Transport Layer Security”.

Indien het Systeem geen veilig communicatieprotocol ondersteunt dan mag enkel gemotiveerd en na goedkeuring door de Opdrachtgever het X X X X Pagina 24 van 139 RWS INFORMATIE |Cybersecurity Implementatierichtlijn Objecten | 23 april 2021 onveilige communicatieprotocol worden ingezet, mits er een additioneel versleuteld kanaal wordt toegepast (SSL, TLS, IPSEC etc.). De gekozen versleuteling en de onderliggende algoritmes en instellingen dienen dan uitsluitend de duiding “goed” te hebben zoals aangegeven in de meest actuele versie van het NCSC document “Richtlijnen voor Transport Layer Security”.

Niet alleen de logserver dient te worden geconfigureerd op een tijdserver, maar ook alle aangesloten componenten zoals PLC’s welke logregels genereren op de logserver; l. Indien mogelijk dient Transport Layer Security (TLS) via TCP op poort 6514 gebruikt te worden (RFC 5425).

Een Onderneming (een Inschrijver, een combinant of een derde) kan zich slechts beroepen op de (in samenwerkingsverband) opgedane ervaring indien de Onderneming de werkzaamheden waarop de technische bekwaamheid berust daadwerkelijk zelf heeft verricht Kwaliteitsborging Voorts dient inschrijver op het moment van het indienen van een inschrijving en gedurende de looptijd van de raamovereenkomst te beschikken over de volgende certificeringen: • Bewijs ISO 9001-2015 of gelijkwaardig • Bewijs ISO 27001 of gelijkwaardig • Bewijs ISO 14001 of gelijkwaardig Europese aanbesteding (multifunctionele) printers en de daarbij horende dienstverlening Europese aanbesteding levering van (multifunctionele) printers en de daarbij horende dienstverlening Referentienummer: 1-465260826 Pagina 12 van 22 Kwaliteitsmanagementsysteem Inschrijver dient over een gecertificeerd kwaliteitsmanagementsysteem, zijnde NEN-EN-ISO 9001 of gelijkwaardige certificaten te beschikken.

Versleuteling voldoet gedurende de looptijd van de overeenkomst aan de meest recente ICTbeveiligingsrichtlijnen voor Transport Layer Security (TLS) van het NCSC.

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Voor zover er binnen de ICT-oplossing sprake is van e-mail functionaliteit (het versturen dan wel ontvangen van e-mails), voldoet de ICT-oplossing aan de volgende standaarden: DKIM, DMARC en SPF.

Het verzenden van emailberichten namens het domein/de domeinen van Opdrachtgever vanaf de servers van Inschrijver en/of de aangeboden ICT-oplossing wordt enkel toegestaan als wordt voldaan aan de volgende mailstandaarden: DKIM, DMARC, SPF, DANE, DNSSEC en encrypted mail.

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Voor zover er binnen de ICT-oplossing sprake is van e-mail functionaliteit (het versturen dan wel ontvangen van e-mails), voldoet de ICT-oplossing aan de volgende standaarden: DKIM, DMARC en SPF.

Het verzenden van emailberichten namens het domein/de domeinen van Opdrachtgever vanaf de servers van Inschrijver en/of de aangeboden ICT-oplossing wordt enkel toegestaan als wordt voldaan aan de volgende mailstandaarden: DKIM, DMARC, SPF, DANE, DNSSEC en encrypted mail.

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Het verzenden van emailberichten namens het domein/de domeinen van Opdrachtgever vanaf de servers van Inschrijver en/of de aangeboden ICT-oplossing wordt enkel toegestaan als wordt voldaan aan de volgende mailstandaarden: DKIM, DMARC, SPF, DANE, DNSSEC en encrypted mail.

Met betrekking tot alle web-omgevingen (inclusief de mogelijk te leveren self-service-webportalen), de verbinding daar naartoe en de adressering hierbij, voldoet de ICT-oplossing aan de volgende standaarden: DNSSEC en HTTPS en HSTS en IPv4 en IPv6 en TLS 1.2 of hoger, bij voorkeur inclusief het gebruik van security-headers.

Het domein ‘infrastructuur’ omvat onder andere de bouwstenen ‘Diginetwerk’, ‘Digikoppeling’ en ‘PKIoverheid’.

Het betreft normen en standaarden die de volgende ICT-kwaliteitsgebieden afdekken (tussen haakjes staan ter verduidelijking voorbeelden van betreffende normen en standaarden, waarbij opvolgende versies ook onder de normen vallen): • Architectuur (GEMMA); • Interoperabiliteit (NEN3610, Stuf, SUWIML, Digikoppeling, iWMO); • Beveiliging (Baseline Informatiebeveiliging Gemeenten); • Dataportabiliteit; • Metadatering (TMLO); • Toegankelijkheid (Webrichtlijnen); • Archivering (NEN-ISO 15489-1 NL, NEN-ISO 16175-1); • Infrastructuur (Generieke Digitale Infrastructuur, aansluiten op Stelsel van Basisregistraties); • Documentatie; • E-facturering. Veel normen en standaarden schrijven voor dat bepaalde preventieve testen worden uitgevoerd zodat aangetoond wordt dat aan de betreffende norm wordt voldaan.

Onder websites vallen ook intra- en extranetten en cloudapplicaties volgens de Europese definitie (zie digitoegankelijk.nl/aan-de-slag/tips/intranetten).

6.3 Normen en standaarden Nr. Standaard/norm Bronnen/referenties E1 Europese standaard EN 301 549 met WCAG 2.1 digitoegankelijk.nl en forumstandaardisatie.nl/standaard/ digitoegankelijk-en-301-549-met-wcag-21 6.4 Tips en toelichting 1.

Op digitoegankelijk.nl/wetgeving/wat-verplicht is beschreven welke verplichtingen gelden, o.a. voor het publiceren van een toegankelijkheidsverklaring. 3.

Met betrekking tot alle web-omgevingen (inclusief de mogelijk te leveren self-service-webportalen), de verbinding daar naartoe en de adressering hierbij, voldoet de ICT-oplossing aan de volgende standaarden: DNSSEC en HTTPS en HSTS en IPv4 en IPv6 en TLS 1.2 of hoger, bij voorkeur inclusief het gebruik van security-headers.

Om te voorkomen dat websites en apparaten onbereikbaar worden is Internet Protocol versie 6 (IPv6) ontwikkeld.

Alle overheidsorganisaties moeten ook via IPv6 bereikbaar zijn.

Zie: digitaleoverheid.nl/mido/ generieke-digitale-infrastructuur-gdi/ domein-infrastructuur/ G2 Ondersteunen IPv6 Richtlijnen voor IPv6: forumstandaardisatie.nl/open-standaarden/ ipv6-en-ipv4.

2 Eén/meer kopieën van een ISO 27001-certificaat of vergelijkbaar (zie Aanbestedingsleidraad, § 5.4.2.)

5.4.2.2 Verplichte certificeringen of gelijkwaardig Inschrijver dient in het bezit te zijn van de onderstaande certificeringen (of gelijkwaardig): • Inschrijver dient zelfstandig in het bezit te zijn van een geldig en door een onafhankelijk geaccrediteerde deskundige te zijn afgegeven ISO 27001:2022 certificaat, waarbij organisatie en dienstverlening geheel in scope zijn, en een verklaring van toepasselijkheid hiervan met betrekking tot de aangeboden ICT-oplossing of aantoonbaar gelijkwaardig.

• Indien Inschrijver gebruik maakt van derden die de rekencentraservices van Inschrijver verzorgen met betrekking tot de ICT-oplossing, dienen deze derden (ongeacht of er wel of niet beroep wordt gedaan op de draagkracht van deze derden en zonder dat deze derden hiervoor een beroep op draagkracht doen van andere derden) in het bezit te zijn van een geldig en door een onafhankelijk geaccrediteerde deskundige te zijn afgegeven ISO 27001:2022 certificaat of aantoonbaar gelijkwaardig.

NLCIUS is een aanvullende nationale specificatie op EN16931 voor toepassing in Nederland.

10.3 Normen en standaarden Nr. Standaard/norm Bronnen/referenties I1 EN16931 en NLCIUS forumstandaardisatie.nl/openstandaarden/nlcius 10.4 Tips en toelichting 1.

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Het verzenden van emailberichten namens het domein/de domeinen van Opdrachtgever vanaf de servers van Inschrijver en/of de aangeboden ICT-oplossing wordt enkel toegestaan als wordt voldaan aan de volgende mailstandaarden: DKIM, DMARC, SPF, DANE, DNSSEC en encrypted mail.

Voor zover er binnen de ICT-oplossing sprake is van een verbinding tussen twee of meerdere e-mail servers, voldoet de ICT-oplossing eveneens aan de navolgende standaarden: STARTTLS en DANE.

Ten opzichte van de StUF-standaarden sluiten deze API-standaarden beter aan bij door softwareontwikkelaars gebruikte industriestandaarden.

Inschrijver levert de volgende integraties op voor de Opdrachtgever Gemeente Oldambt: Via ESB: • BRP (Basisregistratie Personen) • Zaaksysteem (ZGW-API en StUF-ZDS) • Financiele applicatie (Betalen- en Invorderingservices (StUF-FIN) Rechtstreeks gekoppeld op ICT oplossing: ● Basisgegevens: o LV-BAG (conform hiervoor beschikbaar gestelde API’s) o Nationaal Handels Register (conform hiervoor beschikbaar gestelde API’s) ● DSO en publicaties: o DROP o DSO-LV (via STAM) o DSO-LV (via samenwerken) ● Autorisatie en toegang: o Active Directory (op basis van Microsoft Entra ID) ● Geo en kaart: o PDOK (BAG, BRT, BRK, BGT en BRO) o ArcGIS ● Landelijke registers en toezicht: o Register Milieubelastende Activiteiten (rMba) o NAZCA 125.

Inschrijver levert de volgende integraties op voor Opdrachtgever Gemeente Veendam: Via ESB: • BRP (Basisregistratie Personen) • Zaaksysteem (ZGW-API en StUF-ZDS) • Financiele applicatie (Betalen- en Invorderingservices (StUF-FIN) Rechtstreeks gekoppeld op ICT oplossing: ● Basisgegevens: o LV-BAG (conform hiervoor beschikbaar gestelde API’s) o Nationaal Handels Register (conform hiervoor beschikbaar gestelde API’s) ● DSO en publicaties: o DROP o DSO-LV (via STAM) o DSO-LV (via samenwerken) ● Autorisatie en toegang: o Active Directory (op basis van Microsoft Entra ID) ● Geo en kaart: o PDOK (BAG, BRT, BRK, BGT en BRO) ● Landelijke registers en toezicht: o Register Milieubelastende Activiteiten (rMba) o NAZCA Aanbesteding VTH-applicatie Bijlage 04 Programma van Eisen 22 van 31 126.

Met betrekking tot alle web-omgevingen (inclusief de mogelijk te leveren self-service-webportalen), de verbinding daar naartoe en de adressering hierbij, voldoet de ICT-oplossing aan de volgende standaarden: DNSSEC en HTTPS en HSTS en IPv4 en IPv6 en TLS 1.2 of hoger, bij voorkeur inclusief het gebruik van security-headers.

De ICT-oplossing voldoet aan de verplichting dat er een security.txt-bestand in de self-servicewebonderdelen voor inwoners, organisaties en instellingen van de ICT-oplossing opgenomen kan worden.