TenderNed Standaardenmonitor

• Het toegangscontrolesysteem dient ondersteuning te bieden voor naadloze Single Sign-On (SSO) authenticatie via de identity provider van de aanbestedende dienst. Hierbij wordt gebruikgemaakt van een gangbaar en veilig authenticatieprotocol, zoals SAML of OAuth 2.0/OpenID Connect.

Door het ondertekenen van deze eigen verklaring geeft Gegadigde aan dat hij voldoet aan al het gestelde ten aanzien van de gestelde eisen en dat Gegadigde de eventueel verlangde bewijsstukken/verklaringen op het eerste verzoek van Aanbestedende dienst binnen zeven (7) kalenderdagen kan verstrekken • ISO/IEC 27001 De partij die verantwoordelijk is voor de ontwikkeling van de te leveren software, én de hostingpartij is van het betreffende informatiesysteem, moet beschikken over een geldig ISO/IEC 27001-certificaat voor een Information Security Management System (ISMS).

De volgende voorwaarden zijn van toepassing: • De scope van het ISMS zoals vermeld op het ISO 27001-certificaat omvat expliciet de dienstverlening die onder deze overeenkomst valt.

• De certificerende instelling die het ISO 27001-certificaat heeft afgegeven is geaccrediteerd door een nationale of internationale accreditatie-instantie (zoals de RvA, UKAS, DAkkS, of vergelijkbaar).

Alle TLS-verbindingen dienen te voldoen aan de op het moment van uitvoering geldende ICT-beveiligingsrichtlijnen voor Transport Layer Security (TLS), zoals vastgesteld door het Nationaal Cyber Security Centrum (NCSC).

DD.01 - Handreiking Dijkbekleding, deel 1 Algemeen, versie d.d. januari 2015: https://repository.tudelft.nl/islandora/object/uuid%3Adcd44389-f276-48ba-a693- 29a15c9b3600 Groenbeheerplan CROW Publicatie 207, Richtlijnen voor de bebakening en markering van wegen, d.d. 13 februari 2015 ISBN 9789066286429 verkrijgbaar via CROW, zie www.crow.nl Eisen 4.2.2.2 - CROW Publicatie 322, Richtlijnen Bewegwijzering 2014 d.d. 23 januari 2014 ISBN 9789066286313 verkrijgbaar via CROW, zie www.crow.nl Eisen 4.2.4 - Verkeersmanagement voor Rijkswegen Proces VM020 AA Specificatie Functionele Inspecties en Testen, versie 5.0 d.d. 30-11-2020 Proces US2400 AB FIT_Typical, versie 5.0 verkregen op 20-2-2023 Proces US2400 AC Specificatie NEN 3140 en NEN 3840 inspecties, versie 4.5 d.d. 18 januari 2019 Proces IV094 AD Productspecificaties Hydrografische opnemingen Proces US1240 AE Vertrouwelijkheid: RWS BEDRIJFSVERTROUWELIJK Pagina 9 van 115 Bijlagen bij de Vraagspecificatie | zaaknummer <ZAAKID> | 23 februari 2023 Omschrijving referentie Vraagspecificatie deel Eis / bepaling Bijlage bij de Vraagspecificatie Handboek Bermbeveiligingsvoorzieningen d.d. september 2000 ISBN 9066283203 verkrijgbaar via CROW, zie www.crow.nl Bijlage C C.3.1 C.3.2 C.3.3 - WIOR Amsterdam, verkrijgbaar via https://www.amsterdam.nl/parkeren-verkeer/werken-openbareruimte/coordinatiestelsel-werken-weg/#h1e019aad2f1f-4f7d-afd5-e8a3939664aa U Uniforme werkwijze planners SPIN, versie 2.3 Proces VM010 U Aanpassing SPIN, versie juli 2019 Proces VM010 U SPIN: https://www.rijkswaterstaat.nl/zakelijk/verkeersmanagement/wegverkeer/spin#gebruikershandleiding Proces VM010 U Handreiking en format toestandsrapportages, versie 1.3 Proces US350 Hinderaanpak, verkregen via https://open.rws.nl/open-overheid/onderzoeksrapporten/@125846/werkwijzer-hinderaanpak/ Proces OM010 VN110 Handreiking Aanbesteden Versie 3.0: Het EMVI-BPKV criterium CO2-Prestatieladder voor aanbestedende diensten, verkrijgbaar via https://www.co2-prestatieladder.nl/nl/news-item/SKAO-publiceert-HandreikingAanbesteden-Versie-30 Proces MI120 Kader toepassing wetgeving Machineveiligheid beweegbare objecten HWN, HVWN en HWS, versie 2.3a Proces VP300 Tekeningenvoorschrift WNN 1.1 versie 16-05-22 Bijlage B Coderingsvoorschrift WNN 1.1 versie 16-05-22 Bijlage B DEFINITIEF_Leidraad invulinstructie kernGIS WNN V1.0 Bijlage B Leidraad Coordinated Vulneranerability Disclosure (Nationaal Cyber Security Centrum), zie https://www.ncsc.nl/documenten/publicaties/2019/mei/01/cvd-leidraad Proces CY110 Compendium Aanpak Constructieve Veiligheid, editie 2011, zie http://www.debeijeradvies.nl/pdf/Compendium_constructieve_veiligheid_2011[1].pdf Proces UA040 Grip op Secure Software Development (SSD), CIP, zie https://www.cip-overheid.nl/media/1101/grip-op-ssdhet-proces-v20.pdf Proces CY700 NEN-ISO/IEC-27005 (Information security risk management) Proces RM130 NEN 1010 Proces B-IV300 NEN-ISO/IEC 27002 (Code voor informatiebeveiliging) Proces CY140 NEN-EN 50110-1 Proces B-IV300 NEN-EN 50110-2 Proces B-IV300 Protocol berekenen en aantonen MKI-waarde Bijlage AG Vertrouwelijkheid: RWS BEDRIJFSVERTROUWELIJK Pagina 10 van 115 Bijlagen bij de Vraagspecificatie | zaaknummer <ZAAKID> | 23 februari 2023 Bijlage A Informatie Areaal A.1 Inleiding Op de USB-stickOp de externe schijfIn de dataroom Op TenderNedbehorende bij de Overeenkomst zijn mappen aanwezig met de areaalgegevens.

DD.01 - Handreiking Dijkbekleding, deel 1 Algemeen, versie d.d. januari 2015: https://repository.tudelft.nl/islandora/object/uuid%3Adcd44389-f276-48ba-a693- 29a15c9b3600 Groenbeheerplan CROW Publicatie 207, Richtlijnen voor de bebakening en markering van wegen, d.d. 13 februari 2015 ISBN 9789066286429 verkrijgbaar via CROW, zie www.crow.nl Eisen 4.2.2.2 - CROW Publicatie 322, Richtlijnen Bewegwijzering 2014 d.d. 23 januari 2014 ISBN 9789066286313 verkrijgbaar via CROW, zie www.crow.nl Eisen 4.2.4 - Verkeersmanagement voor Rijkswegen Proces VM020 AA Specificatie Functionele Inspecties en Testen, versie 5.0 d.d. 30-11-2020 Proces US2400 AB FIT_Typical, versie 5.0 verkregen op 20-2-2023 Proces US2400 AC Specificatie NEN 3140 en NEN 3840 inspecties, versie 4.5 d.d. 18 januari 2019 Proces IV094 AD Productspecificaties Hydrografische opnemingen Proces US1240 AE Vertrouwelijkheid: RWS BEDRIJFSVERTROUWELIJK Pagina 9 van 115 Bijlagen bij de Vraagspecificatie | zaaknummer <ZAAKID> | 23 februari 2023 Omschrijving referentie Vraagspecificatie deel Eis / bepaling Bijlage bij de Vraagspecificatie Handboek Bermbeveiligingsvoorzieningen d.d. september 2000 ISBN 9066283203 verkrijgbaar via CROW, zie www.crow.nl Bijlage C C.3.1 C.3.2 C.3.3 - WIOR Amsterdam, verkrijgbaar via https://www.amsterdam.nl/parkeren-verkeer/werken-openbareruimte/coordinatiestelsel-werken-weg/#h1e019aad2f1f-4f7d-afd5-e8a3939664aa U Uniforme werkwijze planners SPIN, versie 2.3 Proces VM010 U Aanpassing SPIN, versie juli 2019 Proces VM010 U SPIN: https://www.rijkswaterstaat.nl/zakelijk/verkeersmanagement/wegverkeer/spin#gebruikershandleiding Proces VM010 U Handreiking en format toestandsrapportages, versie 1.3 Proces US350 Hinderaanpak, verkregen via https://open.rws.nl/open-overheid/onderzoeksrapporten/@125846/werkwijzer-hinderaanpak/ Proces OM010 VN110 Handreiking Aanbesteden Versie 3.0: Het EMVI-BPKV criterium CO2-Prestatieladder voor aanbestedende diensten, verkrijgbaar via https://www.co2-prestatieladder.nl/nl/news-item/SKAO-publiceert-HandreikingAanbesteden-Versie-30 Proces MI120 Kader toepassing wetgeving Machineveiligheid beweegbare objecten HWN, HVWN en HWS, versie 2.3a Proces VP300 Tekeningenvoorschrift WNN 1.1 versie 16-05-22 Bijlage B Coderingsvoorschrift WNN 1.1 versie 16-05-22 Bijlage B DEFINITIEF_Leidraad invulinstructie kernGIS WNN V1.0 Bijlage B Leidraad Coordinated Vulneranerability Disclosure (Nationaal Cyber Security Centrum), zie https://www.ncsc.nl/documenten/publicaties/2019/mei/01/cvd-leidraad Proces CY110 Compendium Aanpak Constructieve Veiligheid, editie 2011, zie http://www.debeijeradvies.nl/pdf/Compendium_constructieve_veiligheid_2011[1].pdf Proces UA040 Grip op Secure Software Development (SSD), CIP, zie https://www.cip-overheid.nl/media/1101/grip-op-ssdhet-proces-v20.pdf Proces CY700 NEN-ISO/IEC-27005 (Information security risk management) Proces RM130 NEN 1010 Proces B-IV300 NEN-ISO/IEC 27002 (Code voor informatiebeveiliging) Proces CY140 NEN-EN 50110-1 Proces B-IV300 NEN-EN 50110-2 Proces B-IV300 Protocol berekenen en aantonen MKI-waarde Bijlage AG Vertrouwelijkheid: RWS BEDRIJFSVERTROUWELIJK Pagina 10 van 115 Bijlagen bij de Vraagspecificatie | zaaknummer <ZAAKID> | 23 februari 2023 Bijlage A Informatie Areaal A.1 Inleiding Op de USB-stickOp de externe schijfIn de dataroom Op TenderNedbehorende bij de Overeenkomst zijn mappen aanwezig met de areaalgegevens.

DD.01 - Handreiking Dijkbekleding, deel 1 Algemeen, versie d.d. januari 2015: https://repository.tudelft.nl/islandora/object/uuid%3Adcd44389-f276-48ba-a693- 29a15c9b3600 Groenbeheerplan CROW Publicatie 207, Richtlijnen voor de bebakening en markering van wegen, d.d. 13 februari 2015 ISBN 9789066286429 verkrijgbaar via CROW, zie www.crow.nl Eisen 4.2.2.2 - CROW Publicatie 322, Richtlijnen Bewegwijzering 2014 d.d. 23 januari 2014 ISBN 9789066286313 verkrijgbaar via CROW, zie www.crow.nl Eisen 4.2.4 - Verkeersmanagement voor Rijkswegen Proces VM020 AA Specificatie Functionele Inspecties en Testen, versie 5.0 d.d. 30-11-2020 Proces US2400 AB FIT_Typical, versie 5.0 verkregen op 20-2-2023 Proces US2400 AC Specificatie NEN 3140 en NEN 3840 inspecties, versie 4.5 d.d. 18 januari 2019 Proces IV094 AD Productspecificaties Hydrografische opnemingen Proces US1240 AE Vertrouwelijkheid: RWS BEDRIJFSVERTROUWELIJK Pagina 9 van 115 Bijlagen bij de Vraagspecificatie | zaaknummer <ZAAKID> | 23 februari 2023 Omschrijving referentie Vraagspecificatie deel Eis / bepaling Bijlage bij de Vraagspecificatie Handboek Bermbeveiligingsvoorzieningen d.d. september 2000 ISBN 9066283203 verkrijgbaar via CROW, zie www.crow.nl Bijlage C C.3.1 C.3.2 C.3.3 - WIOR Amsterdam, verkrijgbaar via https://www.amsterdam.nl/parkeren-verkeer/werken-openbareruimte/coordinatiestelsel-werken-weg/#h1e019aad2f1f-4f7d-afd5-e8a3939664aa U Uniforme werkwijze planners SPIN, versie 2.3 Proces VM010 U Aanpassing SPIN, versie juli 2019 Proces VM010 U SPIN: https://www.rijkswaterstaat.nl/zakelijk/verkeersmanagement/wegverkeer/spin#gebruikershandleiding Proces VM010 U Handreiking en format toestandsrapportages, versie 1.3 Proces US350 Hinderaanpak, verkregen via https://open.rws.nl/open-overheid/onderzoeksrapporten/@125846/werkwijzer-hinderaanpak/ Proces OM010 VN110 Handreiking Aanbesteden Versie 3.0: Het EMVI-BPKV criterium CO2-Prestatieladder voor aanbestedende diensten, verkrijgbaar via https://www.co2-prestatieladder.nl/nl/news-item/SKAO-publiceert-HandreikingAanbesteden-Versie-30 Proces MI120 Kader toepassing wetgeving Machineveiligheid beweegbare objecten HWN, HVWN en HWS, versie 2.3a Proces VP300 Tekeningenvoorschrift WNN 1.1 versie 16-05-22 Bijlage B Coderingsvoorschrift WNN 1.1 versie 16-05-22 Bijlage B DEFINITIEF_Leidraad invulinstructie kernGIS WNN V1.0 Bijlage B Leidraad Coordinated Vulneranerability Disclosure (Nationaal Cyber Security Centrum), zie https://www.ncsc.nl/documenten/publicaties/2019/mei/01/cvd-leidraad Proces CY110 Compendium Aanpak Constructieve Veiligheid, editie 2011, zie http://www.debeijeradvies.nl/pdf/Compendium_constructieve_veiligheid_2011[1].pdf Proces UA040 Grip op Secure Software Development (SSD), CIP, zie https://www.cip-overheid.nl/media/1101/grip-op-ssdhet-proces-v20.pdf Proces CY700 NEN-ISO/IEC-27005 (Information security risk management) Proces RM130 NEN 1010 Proces B-IV300 NEN-ISO/IEC 27002 (Code voor informatiebeveiliging) Proces CY140 NEN-EN 50110-1 Proces B-IV300 NEN-EN 50110-2 Proces B-IV300 Protocol berekenen en aantonen MKI-waarde Bijlage AG Vertrouwelijkheid: RWS BEDRIJFSVERTROUWELIJK Pagina 10 van 115 Bijlagen bij de Vraagspecificatie | zaaknummer <ZAAKID> | 23 februari 2023 Bijlage A Informatie Areaal A.1 Inleiding Op de USB-stickOp de externe schijfIn de dataroom Op TenderNedbehorende bij de Overeenkomst zijn mappen aanwezig met de areaalgegevens.

Bestaande tekeningen in RTW, die wijzigen door het Werk, dienen omgezet te worden naar NLCS (Nederlandse CAD standaard).

De Opdrachtnemer dient de As-built bestanden en tekeningen te leveren conform de volgende specificaties:  Bestandsformaat: inleesbaar in Autocad, vigerende versie is op te vragen bij de Opdrachtgever;  Tekeningenformaat: opgebouwd conform NLCS (Nederlandse CAD standaard); Voor nadere informatie zie: www.bimloket.nl/nlcs;  Document “Aanvullende eisen tekenwerk Rijkswaterstaat”, te downloaden van www.rws.nl/datacontracteisen tabblad “CAD-bestanden en tekeningen Rijkswaterstaat”; Document “Tekenvoorschrift Object- en lijninfrastructuur gebonden installaties”, te downloaden van www.rws.nl/datacontracteisen, tabblad “CAD-bestanden en tekeningen Rijkswaterstaat”.

Bestaande tekeningen die niet conform NLCS zijn opgebouwd dienen, als daar kleine wijzigingen op plaatsvinden, niet te worden omgezet naar NLCS.

VSE (systeem) CSS20 Transport Layer Security Het Systeem dient bij inzet van versleuteling alleen te kiezen voor de versleuteling, de onderliggende algoritmes en instellingen met uitsluitend de duiding “goed”, zoals aangegeven in het NCSC document [ICT-beveiligingsrichtlijnen voor Transport Layer Security (TLS)].

VSE (systeem) CSS20 Transport Layer Security Het Systeem dient bij inzet van versleuteling alleen te kiezen voor de versleuteling, de onderliggende algoritmes en instellingen met uitsluitend de duiding “goed”, zoals aangegeven in het NCSC document [ICT-beveiligingsrichtlijnen voor Transport Layer Security (TLS)].

VSE (systeem) CSS20 Transport Layer Security Het Systeem dient bij inzet van versleuteling alleen te kiezen voor de versleuteling, de onderliggende algoritmes en instellingen met uitsluitend de duiding “goed”, zoals aangegeven in het NCSC document [ICT-beveiligingsrichtlijnen voor Transport Layer Security (TLS)].

28 © EPSA Procurement – Beschrijvend document MSP Externe inhuur d.d. 5 oktober 2026 – TN615504 4 Overzicht gegevens en bijlagen De volgende documenten en invulformulieren maken als bijlagen deel uit van dit beschrijvend document en zijn geplaatst op TenderNed. Achtergrondinformatie Bijlage 1 Aanbestedingsvoorwaarden EPSA Bijlage 2 Uniform Europees Aanbestedingsdocument (UEA) Bijlage 3 Verklaring omtrent inschrijving Bijlage 4 Invulformulier referentieopdracht Bijlage 5 Prijzenblad Bijlage 6 Programma van Eisen Bijlage 7 Concept raamovereenkomst Bijlage 8 Algemene Inkoopvoorwaarden voor Leveringen en Diensten van de gemeente Woerden 2020 Bijlage 9 Klachtenregeling bij aanbestedingen gemeente Woerden 2017 Bijlage 10 Werkwijze en spelregels Social Return 01-02-2020 Bijlage 11 Proces inhuur huidige situatie Digitaal invullen en indienen bij inschrijving Bijlage 1 Uniform Europees Aanbestedingsdocument (UEA) Bijlage 2 Verklaring omtrent inschrijving Bijlage 3 Ingevuld referentieformulier Bijlage 4 Prijzenblad Bijlage 5 Antwoord op de kwalitatieve subgunningscriteria Indienen ten behoeve van verificatie door de winnende inschrijvers Uittreksel uit het handelsregister van de Kamer van Koophandel (KVK) Gedragsverklaring aanbesteden Verklaring van de Belastingdienst Certificaat verzekering Kopie ISO 9001 of vergelijkbaar Kopie ISO 27001 of vergelijkbaar © EPSA Procurement – Beschrijvend document MSP Externe inhuur d.d. 5 oktober 2026 – TN615504 5 Begrippenlijst Begrip Betekenis (Nadere) Aanvraag Een uitnodiging van de Opdrachtgever aan de Opdrachtnemer om uit hoofde van de Raamovereenkomst een Professional te werven.

ISO27001 of gelijkwaardig Inschrijver verklaart dat haar organisatie op informatiebeveiliging voldoet aan de ISO 27001 of een gelijkwaardig informatiebeveiligingsmanagementsysteem.

Opdrachtnemer beschikt gedurende de looptijd van de overeenkomst over een geldig ISO 27001-certificaat passend bij de dienstverlening of een aantoonbaar gelijkwaardig informatiebeveiligingsmanagementsysteem.

Het portaal ondersteunt minimaal TLS 1.2 en de wens is hoger voor gegevensuitwisseling. Verkeer tussen gebruikers, koppelingen, API’s en het Portaal wordt versleuteld.

A.8.20, A.8.22 NW-02 Alle beheer- en printprotocollen zijn versleuteld (HTTPS-beheerinterface, IPPS); ondersteuning voor TLS 1.2 of hoger.

BT.6 De beheertooling is met een webbrowser te benaderen (HTTPS).

BT.6 De beheertooling is met een webbrowser te benaderen (HTTPS).

APP.18 De Producten ondersteunen zowel IPv4, IPv6 als dual stack.

APP.18 De Producten ondersteunen zowel IPv4, IPv6 als dual stack.

A.8.20, A.8.22 3.4 Gegevensbescherming en privacy (AVG) ID Eis ISO 27001:2022 DP-01 De interne opslag (HDD/SSD) is versleuteld (AES-256).

Hierbij zal de actuele versie van de richtsnoeren beveiliging persoonsgegevens van de Autoriteit Persoonsgegevens alsmede de ISO 27001/ISO 27002 als uitgangspunt gebruikt worden.

Elke eis is voorzien van een verwijzing naar de relevante maatregel uit ISO/IEC 27001:2022 Annex A, zodat de eisen herleidbaar zijn naar het ISMS en bruikbaar in de leveranciersselectie en contractvorming. 2 Uitgangspunten en scope De volgende uitgangspunten zijn kaderstellend en vertaald in de eisen verderop: – Fleet-levering: meerdere MFP's, centraal te beheren als één beheerde vloot.

Hierbij zal de actuele versie van de richtsnoeren beveiliging persoonsgegevens van de Autoriteit Persoonsgegevens alsmede de ISO 27001/ISO 27002 als uitgangspunt gebruikt worden.

References: • SSD: 4 • OWASP: https://cheatsheetseries.owasp.org/cheatsheets/Transport_Layer_Protection_Cheat_Sheet.html • ISO 27002:2013 13.1.1 13.2.1 14.1.2 STITCH 1.1 - Security Technical IT CHecklist 5/11 STITCH-2 The identity of users has been vetted a nd identities are managed federatively Institutions must check the identities of users and authenicate them, and applications shall work with federated identities.

References • SSD: 6 • ISO 27002:2013 18.1.1 9.2.4 9.2.1 9.2.6 9.4.2 STITCH 1.1 - Security Technical IT CHecklist 6/11 STITCH-3 Authorisation is based on separation of duties and least privilege Applications must apply separation of duties.

In case of Opportunistic TLS protocols, for example IMAP, POP3, NNTP and LDAP, check if the STARTTLS command is being sent after the initial unencrypted connection has been set up.

In case of Opportunistic TLS protocols, for example IMAP, POP3, NNTP and LDAP, check if the STARTTLS command is being sent after the initial unencrypted connection has been set up.

A.8.20, A.8.22 NW-02 Alle beheer- en printprotocollen zijn versleuteld (HTTPS-beheerinterface, IPPS); ondersteuning voor TLS 1.2 of hoger.

IB.10 Alle verbindingen zowel intern als extern moeten ge-encrypt worden via Transport Layer Security (TLS).

Dit geldt voor ETL (FTPS) en servicekoppelingen (https obv TLS 1.2 of TLS 1.3) IB.11 Standaard wachtwoorden moeten direct bij installatie gewijzigd worden.

Internetveiligheidsstandaarden De opdrachtnemer past de volgende standaarden van de 'pas toe of leg uit'-lijst toe op het platform en op de e-mailstromen die binnen deze opdracht worden gebruikt: HTTPS en HSTS voor alle webverbindingen; TLS conform de meest actuele ICT-beveiligingsrichtlijnen voor Transport Layer Security van het NCSC; DNSSEC op de gebruikte domeinnamen; SPF, DKIM en DMARC (met beleid op ten minste 'quarantine') voor uitgaande e-mail; STARTTLS en DANE voor de mailservers.

Internetveiligheidsstandaarden De opdrachtnemer past de volgende standaarden van de 'pas toe of leg uit'-lijst toe op het platform en op de e-mailstromen die binnen deze opdracht worden gebruikt: HTTPS en HSTS voor alle webverbindingen; TLS conform de meest actuele ICT-beveiligingsrichtlijnen voor Transport Layer Security van het NCSC; DNSSEC op de gebruikte domeinnamen; SPF, DKIM en DMARC (met beleid op ten minste 'quarantine') voor uitgaande e-mail; STARTTLS en DANE voor de mailservers.

Internetveiligheidsstandaarden De opdrachtnemer past de volgende standaarden van de 'pas toe of leg uit'-lijst toe op het platform en op de e-mailstromen die binnen deze opdracht worden gebruikt: HTTPS en HSTS voor alle webverbindingen; TLS conform de meest actuele ICT-beveiligingsrichtlijnen voor Transport Layer Security van het NCSC; DNSSEC op de gebruikte domeinnamen; SPF, DKIM en DMARC (met beleid op ten minste 'quarantine') voor uitgaande e-mail; STARTTLS en DANE voor de mailservers.

Digitale toegankelijkheid Het platform en alle daarmee samenhangende digitale communicatie voldoen aan de Europese norm EN 301 549, die de eisen van WCAG 2.2 op niveau AA overneemt.

De opdrachtnemer levert uiterlijk op de ingangsdatum van de overeenkomst een toegankelijkheidsverklaring aan, opgesteld volgens het model van DigiToegankelijk.nl en gebaseerd op een onderzoek door een onafhankelijke partij.

Het platform voldoet aan de Europese norm EN 301 549, die de eisen van WCAG 2.2 op niveau AA overneemt.

Internetveiligheidsstandaarden De opdrachtnemer past de volgende standaarden van de 'pas toe of leg uit'-lijst toe op het platform en op de e-mailstromen die binnen deze opdracht worden gebruikt: HTTPS en HSTS voor alle webverbindingen; TLS conform de meest actuele ICT-beveiligingsrichtlijnen voor Transport Layer Security van het NCSC; DNSSEC op de gebruikte domeinnamen; SPF, DKIM en DMARC (met beleid op ten minste 'quarantine') voor uitgaande e-mail; STARTTLS en DANE voor de mailservers.

X ISO 27001 Een geldig certificaat op grond van ISO/IEC 27001:2022 of een aantoonbaar gelijkwaardig certificaat.

ISO 27001 Opdrachtnemer beschikt uiterlijk op de ingangsdatum van de overeenkomst over een geldig certificaat op grond van ISO/IEC 27001:2022 of een aantoonbaar gelijkwaardig certificaat.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

Internetveiligheidsstandaarden De opdrachtnemer past de volgende standaarden van de 'pas toe of leg uit'-lijst toe op het platform en op de e-mailstromen die binnen deze opdracht worden gebruikt: HTTPS en HSTS voor alle webverbindingen; TLS conform de meest actuele ICT-beveiligingsrichtlijnen voor Transport Layer Security van het NCSC; DNSSEC op de gebruikte domeinnamen; SPF, DKIM en DMARC (met beleid op ten minste 'quarantine') voor uitgaande e-mail; STARTTLS en DANE voor de mailservers.

Internetveiligheidsstandaarden De opdrachtnemer past de volgende standaarden van de 'pas toe of leg uit'-lijst toe op het platform en op de e-mailstromen die binnen deze opdracht worden gebruikt: HTTPS en HSTS voor alle webverbindingen; TLS conform de meest actuele ICT-beveiligingsrichtlijnen voor Transport Layer Security van het NCSC; DNSSEC op de gebruikte domeinnamen; SPF, DKIM en DMARC (met beleid op ten minste 'quarantine') voor uitgaande e-mail; STARTTLS en DANE voor de mailservers.

Opdrachtnemer mag hierbij gebruik maken van SAML 2.0 of Open-id connect (OAuth 2.0).

De SaaSleverancier mag hierbij gebruik maken van SAML 2.0 of Open-id connect (OAuth 2.0).

De SaaS-leverancier mag hierbij gebruik maken van SAML 2.0 of Open-id connect (OAuth 2.0).

De oplossing moet voldoen aan het gemeentelijke beveiligingsbeleid en moet gebruik maken van de relevante technieken zoals op de pas-toe-ofleg-uit lijst (PTOLU) staan vermeld (SPF, DKIM, DMARC, STARTTLS+DANE).

De oplossing moet voldoen aan het gemeentelijke beveiligingsbeleid en moet gebruik maken van de relevante technieken zoals op de pas-toe-of-leg-uit lijst (PTOLU) 4 staan vermeld (SPF, DKIM, DMARC, STARTTLS+DANE).

E-mail versturen via externe, niet in beheer van de gemeente zijnde mailservers, met zelf aan te vragen domeinen (al bij de gemeente horende domeinen zoals @s-hertogenbosch.nl kunnen dus niet worden gebruikt): De oplossing moet voldoen aan het gemeentelijke beveiligingsbeleid en moet gebruik maken van de relevante technieken zoals op de pas-toe-of-leg-uit lijst (PTOLU) staan vermeld (SPF, DKIM, DMARC, STARTTLS+DANE).

De oplossing moet voldoen aan het gemeentelijke beveiligingsbeleid en moet gebruik maken van de relevante technieken zoals op de pas-toe-ofleg-uit lijst (PTOLU) staan vermeld (SPF, DKIM, DMARC, STARTTLS+DANE).

De oplossing moet voldoen aan het gemeentelijke beveiligingsbeleid en moet gebruik maken van de relevante technieken zoals op de pas-toe-of-leg-uit lijst (PTOLU) 4 staan vermeld (SPF, DKIM, DMARC, STARTTLS+DANE).

E-mail versturen via externe, niet in beheer van de gemeente zijnde mailservers, met zelf aan te vragen domeinen (al bij de gemeente horende domeinen zoals @s-hertogenbosch.nl kunnen dus niet worden gebruikt): De oplossing moet voldoen aan het gemeentelijke beveiligingsbeleid en moet gebruik maken van de relevante technieken zoals op de pas-toe-of-leg-uit lijst (PTOLU) staan vermeld (SPF, DKIM, DMARC, STARTTLS+DANE).

c De applicatie voldoet aan de beveiligingsrichtlijnen voor webapplicaties van het NCSC, is versleuteld met protocollen en algoritmen volgens de laatste stand van de techniek en moet voldoen aan de pas-toe-of-leg-uit lijst (PTOLU) van het Forum Standaardisatie (o.a. https://, DNSSEC, IPv6 etc.) d Het gebruik van TLS en HTTP headers voldoet aan de laatste stand van de techniek.

b. Interfaces voor inwoners en bedrijven van de ICT-oplossing voldoen aan de eisen vermeld op www.digitoegankelijk.nl c. De applicatie voldoet aan de beveiligingsrichtlijnen voor webapplicaties van het NCSC1 , is versleuteld met protocollen en algoritmen volgens de laatste stand van de techniek2 en moet voldoen aan de pas-toe-of-leg-uit lijst (PTOLU) van het Forum Standaardisatie3 (o.a. https://, DNSSEC, IPv6 etc.) d. Het gebruik van TLS en HTTP-headers voldoet aan de laatste stand van de techniek.

Als hier 100% wordt gescoord, dan wordt aan alle voorwaarden voldaan en zijn zaken met betrekking tot IPv6 en DNSSEC die buiten de scope van dit document vallen ook in orde.

b Interfaces voor inwoners en bedrijven van de ICT-oplossing voldoen aan de eisen vermeld op www.digitoegankelijk.nl.

b. Interfaces voor inwoners en bedrijven van de ICT-oplossing voldoen aan de eisen vermeld op www.digitoegankelijk.nl c. De applicatie voldoet aan de beveiligingsrichtlijnen voor webapplicaties van het NCSC1 , is versleuteld met protocollen en algoritmen volgens de laatste stand van de techniek2 en moet voldoen aan de pas-toe-of-leg-uit lijst (PTOLU) van het Forum Standaardisatie3 (o.a. https://, DNSSEC, IPv6 etc.) d. Het gebruik van TLS en HTTP-headers voldoet aan de laatste stand van de techniek.

Filetransfer (HTTPS, SFTP of SCP) Gemeente initieert altijd het ophalen van de data, data kan niet gepusht worden naar het Dataplatform.

In geval van doorverwijzing moet de domeinnaam eerst zelf verwijzen naar zijn HTTPSvariant, voordat deze eventueel doorverwijst naar een andere domeinnaam.

Dit zorgt er ook voor dat een webbrowser de HSTS-policy kan accepteren.

c De applicatie voldoet aan de beveiligingsrichtlijnen voor webapplicaties van het NCSC, is versleuteld met protocollen en algoritmen volgens de laatste stand van de techniek en moet voldoen aan de pas-toe-of-leg-uit lijst (PTOLU) van het Forum Standaardisatie (o.a. https://, DNSSEC, IPv6 etc.) d Het gebruik van TLS en HTTP headers voldoet aan de laatste stand van de techniek.

Verbindingen van en naar publieke netwerken vinden altijd plaats op basis van de TCP/IP protocol suite, waarbij voor diensten die de gemeente aanbiedt geldt dat hier zowel IPv4 als IPv6 wordt gebruikt.

b. Interfaces voor inwoners en bedrijven van de ICT-oplossing voldoen aan de eisen vermeld op www.digitoegankelijk.nl c. De applicatie voldoet aan de beveiligingsrichtlijnen voor webapplicaties van het NCSC1 , is versleuteld met protocollen en algoritmen volgens de laatste stand van de techniek2 en moet voldoen aan de pas-toe-of-leg-uit lijst (PTOLU) van het Forum Standaardisatie3 (o.a. https://, DNSSEC, IPv6 etc.) d. Het gebruik van TLS en HTTP-headers voldoet aan de laatste stand van de techniek.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

De BIO2 is gebaseerd op de laatste versie van de ISO 27001 en de ISO 27002.

De BIO2 is gebaseerd op de laatste versie van de ISO 27001 en de ISO 27002.

Om ongewenste omleidingen van verkeer te voorkomen wordt als onderliggende laag van de aangeboden dienst(en) verplicht gebruik gemaakt van RPKI.

De oplossing moet voldoen aan het gemeentelijke beveiligingsbeleid en moet gebruik maken van de relevante technieken zoals op de pas-toe-ofleg-uit lijst (PTOLU) staan vermeld (SPF, DKIM, DMARC, STARTTLS+DANE).

De oplossing moet voldoen aan het gemeentelijke beveiligingsbeleid en moet gebruik maken van de relevante technieken zoals op de pas-toe-of-leg-uit lijst (PTOLU) 4 staan vermeld (SPF, DKIM, DMARC, STARTTLS+DANE).

E-mail versturen via externe, niet in beheer van de gemeente zijnde mailservers, met zelf aan te vragen domeinen (al bij de gemeente horende domeinen zoals @s-hertogenbosch.nl kunnen dus niet worden gebruikt): De oplossing moet voldoen aan het gemeentelijke beveiligingsbeleid en moet gebruik maken van de relevante technieken zoals op de pas-toe-of-leg-uit lijst (PTOLU) staan vermeld (SPF, DKIM, DMARC, STARTTLS+DANE).

Eis TE2 Opdrachtnemer waarborgt dat de aangeboden ICT-oplossing met bijbehorende koppelingen niet meer dan één major versie achterloopt (“neerwaartse compatibiliteit”) op de webrichtlijnen en de landelijke standaarden, zoals de ZGW API’s, Haal Centraal, StUF-BG, RGBZ, ImZTC en RSGB die voor de ICToplossing van toepassing zijn.

Van buiten (SaaS) naar binnen geldt dat een tweezijdige TLS-verbinding noodzakelijk is op basis van de laatste beveiligingsstandaarden (TLS 1.2, TLS 1.3).

Het gebruik van security.txt (RFC 9116) is verplicht.

Het is de bedoeling dat verzoeken aan /.wellknown/security.txt via een zogenaamde 302-redirect worden doorgeleid naar https://s-hertogenbosch.nl/.well-known/security.txt, tenzij de aangeboden dienst niet exclusief voor de gemeente bedoeld is.

In dat geval is gebruik van een security.txtmechanisme welke door de leverancier is ingericht van toepassing; 22.

De inschrijver dient minimaal te beschikken over de volgende cerƟficeringen of aantoonbaar gelijkwaardige normen:  ISO 9001 voor kwaliteitsmanagement;  ISO 14001 voor milieumanagement;  ISO/IEC 27001 voor informatiebeveiligingsmanagement.

Deze versleuteling moet worden geïmplementeerd met een encryptieprotocol dat op minimaal TLS 1.2 (of een vergelijkbaar encryptieprotocol).

Voorbeelden (niet limitatief) van onveilige protocollen en mogelijke alternatieven zijn: ONDERWERP ONVEILIG MOGELIJK ALTERNATIEF Bestandsoverdracht FTP, TFTP SFTP (SSH), FTPS (TLS), SCP Communicatie OPC BACnet SNMP v1, 2 OPC-UA BACnet Secure Connect (B/SC) SNMP v3 Communicatie active directory LDAP (poort 389) LDAPS/Secure LDAP (poort 636) Kerberos Communicatie toegangscontrole Wiegand OSDP (Open Supervised Device Protocol), RS-485-gebaseerde protocollen met encryptie, TLS Encryptie Symmetrisch: DES, 2DES, Blowfish, RC2, RC5 Asymmetrisch: RC4 Real-time Transport Protocol (RTP) Symmetrisch: AES Asymmetrisch: RSA Secure RTP (SRTP) Hashes MD5, SHA-1 SHA2 (256), SHA-3, RIPEMD (256), zie ook de NCSC beveiligingsrichtlijnen23 Hyper text HTTP HTTPS Radius TACACS, XTACACS TACACS+ of RADIUS Tijdsynchronisatie NTP Secure NTP of Network Time Security (NTS) TLS SSL, TLS 1.1 TLS 1.3 of hoger Toegang op afstand Telnet SSH 23 NCSC beveiligingsrichtlijnen zie https://www.ncsc.nl/documenten/publicaties/2021/januari/19/ict-beveiligingsrichtlijnen-voor-transport-layer-security-2.1 Versie: 1.9 | definitief Pagina 39 van 90 Datum: 27-7-2026 Fout!

- Audit rapportages als ISO 27001 Surveillance Audit rapporten en/of ISAE 3402 SOC2 Type II.

E13.1-01 T • De Opdrachtnemer voegt, indien beschikbaar, de volgende certificeringen en audit rapportage toe als bijlage en licht deze toe: - Gebruik van een intern Cybersecurity-framework en/of ISO 27001 certificering met Verklaring van Toepasselijkheid (Statement of Applicability) - IEC 62443 certificering inzake processen, systemen en/of componenten met vermelding van de security levels.

E4.6-06 O • Verkeer tussen firewall en externe bronnen is end-to-end versleuteld op basis van veilige encryptie die door het NCSC21 ‘goed’ bevonden is (momenteel TLS 1.3) (en bij onderdelen waar goed ontbreekt ‘voldoende’ is).

Voorbeelden (niet limitatief) van onveilige protocollen en mogelijke alternatieven zijn: ONDERWERP ONVEILIG MOGELIJK ALTERNATIEF Bestandsoverdracht FTP, TFTP SFTP (SSH), FTPS (TLS), SCP Communicatie OPC BACnet SNMP v1, 2 OPC-UA BACnet Secure Connect (B/SC) SNMP v3 Communicatie active directory LDAP (poort 389) LDAPS/Secure LDAP (poort 636) Kerberos Communicatie toegangscontrole Wiegand OSDP (Open Supervised Device Protocol), RS-485-gebaseerde protocollen met encryptie, TLS Encryptie Symmetrisch: DES, 2DES, Blowfish, RC2, RC5 Asymmetrisch: RC4 Real-time Transport Protocol (RTP) Symmetrisch: AES Asymmetrisch: RSA Secure RTP (SRTP) Hashes MD5, SHA-1 SHA2 (256), SHA-3, RIPEMD (256), zie ook de NCSC beveiligingsrichtlijnen23 Hyper text HTTP HTTPS Radius TACACS, XTACACS TACACS+ of RADIUS Tijdsynchronisatie NTP Secure NTP of Network Time Security (NTS) TLS SSL, TLS 1.1 TLS 1.3 of hoger Toegang op afstand Telnet SSH 23 NCSC beveiligingsrichtlijnen zie https://www.ncsc.nl/documenten/publicaties/2021/januari/19/ict-beveiligingsrichtlijnen-voor-transport-layer-security-2.1 Versie: 1.9 | definitief Pagina 39 van 90 Datum: 27-7-2026 Fout!

De Oplossing ondersteunt SSO conform de standaarden van de opdrachtgever en ondersteunt minimaal SAML 2.0 en/of OpenID Connect (OIDC).

Het betreft normen en standaarden die de volgende ICT-kwaliteitsgebieden afdekken (tussen haakjes staan ter verduidelijking voorbeelden van betreffende normen en standaarden, waarbij opvolgende versies ook onder de normen vallen): o Architectuur (GEMMA); o Interoperabiliteit (NEN3610, Stuf, SUWIML, Digikoppeling, iWMO); o Beveiliging (Baseline Informatiebeveiliging Gemeenten); o Dataportabiliteit; o Metadatering (TMLO); o Toegankelijkheid (Webrichtlijnen); o Archivering (NEN-ISO 15489-1 NL, NEN-ISO 16175-1); o Infrastructuur (Generieke Digitale Infrastructuur, aansluiten op Stelsel van Basisregistraties); o Documentatie; o E-facturering. VNG Realisatie 18 Veel normen en standaarden schrijven voor dat bepaalde preventieve testen worden uitgevoerd zodat aangetoond wordt dat aan de betreffende norm wordt voldaan.

Om aan zijn plichten uit artikel 38 van de Inkoopvoorwaarden te voldoen, overlegt Leverancier jaarlijks een ISO-certificering (ISO 27001).

Voorwaarden Deze clausule kan worden toegepast indien sprake is van nieuwe of gewijzigde wet- en regelgeving, waaronder: • Wijzigingen voortvloeiend uit de Cyberbeveiligingswet, NIS2, daarop gebaseerde Algemene Maatregelen van Bestuur en ministeriële regelingen, BIO, ISO 27001 of opvolgende normenkaders; • Nieuwe landelijke standaarden, bijvoorbeeld met betrekking tot gegevensuitwisseling die resulteren in nieuwe koppelingen.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

Onder koppelingen verstaan we digitaal berichtenverkeer tussen twee applicaties middels een specifiek format (XML, StUF, API etc) 3.12 Koppelingen tussen applicaties zijn geautomatiseerd Als koppelingen tussen applicaties frequent of in grote aantallen worden uitgevoerd dan rechtvaardigt dat de inspanning van het ontwikkelen van geautomatiseerde koppelingen.

• De berichtenstandaard StUF-BG 3.10.

Eis 110 hGIBIT artikel 8 (Interoperabiliteitseisen, normen en standaarden) en GIBIT artikel 22 (Datauitwisseling) blijven onverkort van toepassing. Aanvullend geldt: De Oplossing garandeert veilige en betrouwbare communicatie met interne en externe partijen, met de volgende specifieke eisen: • Beveiligde verbindingen: o Alle communicatie verloopt via beveiligde verbindingen conform de laatst geldende NCSC-richtlijnen voor TLS: TLS 1.3 (minimaal), Sterke cipher suites (bv.

• Gegevens in transport: o Alle communicatie wordt versleuteld conform de laatst geldende NCSCrichtlijnen voor TLS, waarbij minimaal TLS 1.3 wordt toegepast. • Sleutelbeheer: o Cryptografische sleutels worden: Veilig gegenereerd (bv.

2.10.31 De applicatie moet Single Sign-On (SSO) ondersteunen via Microsoft Entra ID met gebruik van OIDC (OpenID Connect) en/of SAML (Security Assertion Markup Language) voor authenticatie.

2.10.12 Emailservers moeten de authenticiteit van e-mails valideren met SPF en DKIM.

Als deze validatie faalt, is de DMARC-policy leidend.

Bij afwezigheid van een DMARC-record moet de e-mail in quarantaine worden geplaatst. 2.10.13 Cryptografische maatregelen Voor encryptie in transport moet Transport Layer Security (TLS) worden gebruikt voor het beveiligen van verbindingen.

48.3 In aanvulling op artikel 9 garandeert Opdrachtnemer ingeval van het beschikbaar stellen van Software en/of Clouddiensten aan Stedin dat: a. Opdrachtnemer passende organisatorische beveiligingsmaatregelen geïmplementeerd houdt om de beschikbaarheid, integriteit en vertrouwelijkheid te waarborgen van de gegevens die met behulp van de Software of Clouddiensten worden verwerkt, conform de norm ISO 27001, dan wel een daarvoor nader overeen te komen gelijkwaardige normering; b. de Software en/of de Clouddienst geen “achterdeur”, “drop dead device”, “time bomb”, “Trojan horse”, “virus” of “worm” (of dergelijke termen die gewoonlijk worden gehanteerd binnen de softwareindustrie) of andere code bevat die is ontworpen of is bestemd om een van de volgende functies te hebben: (i) het verstoren, buiten werking stellen, beschadigen of anderszins belemmeren op welke manier dan ook van de werking van, of ongeoorloofde toegang verlenen tot een computersysteem of netwerk of een ander apparaat waarop dergelijke code wordt gebruikt, opgeslagen of geïnstalleerd, of (ii) beschadiging of vernietiging van gegevens of bestanden zonder toestemming van de gebruiker; c. de Software en/of de Clouddienst is ontwikkeld conform de normen OWASP of de ICT-Beveiligingsrichtlijnen voor Webapplicaties van het NCSC, dan wel een nader overeen te komen gelijkwaardige normering, om te waarborgen deze vrij is van beveiligingsproblemen; d. de Clouddiensten zjin voorzien van deugdelijke identificatie, authenticatie en autorisatie om bevoegde gebruikers toegang te bieden en onbevoegden buiten te houden; e. indien Opdrachtnemer niet de rechthebbende van de Standaardsoftware of de Clouddiensten is, zij door rechthebbende is gemachtigd om namens deze Gebruiksrechten aan derden te verschaffen.

2.9.28 Opdrachtnemer levert jaarlijks een derde-partijverklaring (“third party memorandum”), bijvoorbeeld ISO 27001, ISO 27017, ISAE 3402, SSAE 16 of SOC 2, of een hiermee gelijkwaardige verklaring (niet ouder dan één jaar), in directe relatie tot de aan Stedin geleverde diensten en afgegeven door een daartoe geautoriseerde instantie.

De vereiste versie is TLS 1.3 en indien noodzakelijk (indien de applicatie het niet ondersteunt) wordt TLS 1.2 nog toegestaan met goedkeuring en een einddatum.

Bij afwezigheid van een DMARC-record moet de e-mail in quarantaine worden geplaatst. 2.10.13 Cryptografische maatregelen Voor encryptie in transport moet Transport Layer Security (TLS) worden gebruikt voor het beveiligen van verbindingen.

Voor TLS 1.2 zijn enkel DHE (Diffie-Hellman Ephemeral) en ECDHE (Elliptic Curve Diffie-Hellman Ephemeral) toegestaan voor sleuteluitwisseling. 9 2.10.14 Alle gegevens moeten altijd versleuteld worden bij verzending over communicatieverbindingen, zowel binnen als buiten de IT/OT-infrastructuur van de Stedin Groep.