TenderNed Standaardenmonitor

3.9 KWALITEIT BEVEILIGING: NEN-ISO 27001 / 2017 ..........................................

3.8 Kwaliteit beveiliging: NEN-ISO 27001:2017 De beveiliging van informatie en persoonsgegevens wordt niet uitsluitend bepaald door de uitvoering van operationele werkzaamheden, maar in belangrijke mate door de wijze waarop informatiebeveiliging, kwaliteitsborging, interne controle, risicomanagement en leveranciersmanagement binnen de organisatie van de Gegadigde zijn ingericht en worden aangestuurd.

Om die reden dient de Gegadigde zelf te beschikken over een door een onafhankelijke certificerende instelling afgegeven NEN-EN-ISO/IEC 27001:2017-certificaat (of recenter) dan wel een gelijkwaardig certificaat.

De Opdrachtnemer voldoet gedurende de looptijd van de Overeenkomst aantoonbaar aan: • NEN 7510-1:2024, certificering is niet verplicht; • NEN 7510-2:2024; • NEN 7512:2022; • NEN 7513:2024; • ISO/IEC 27001.

Ook gelijkwaardig bewijs wordt geaccepteerd, mits de Inschrijver aantoont dat het alternatieve kwaliteitsmanagementsysteem qua inhoud en werking gelijkwaardig is, waaronder in ieder geval gedocumenteerde procedures, beheersmaatregelen en processen voor continue verbetering. Informatiebeveiliging De Opdrachtnemer voldoet gedurende de looptijd van de Overeenkomst aantoonbaar aan: • NEN 7510-1:2024, certificering is niet verplicht; • NEN 7510-2:2024; • NEN 7512:2022; • NEN 7513:2024; • ISO/IEC 27001; • Of vergelijkbaar aan bovenstaande.

3 B Opdrachtnemer dient in het bezit te zijn van een geldig ISO 27001-certificaat of een aantoonbaar gelijkwaardig informatiebeveiligingsmanagementsysteem, gebaseerd op een risicogebaseerde aanpak voor informatiebeveiliging, toegangsbeheer, incidentmanagement en continue verbetering. Dit systeem dient gedocumenteerd en operationeel te zijn.

Opdrachtnemer heeft bij inschrijving een kopie van het geldige ISO 27001-certificaat overgelegd of een document met een verklaring van een gecertificeerde geaccrediteerde organisatie waaruit blijkt dat een gelijkwaardig systeem aanwezig is dat voldoet aan de in deze eis gestelde voorwaarden.

Afhankelijk van de situatie van Inschrijver gaat het om de volgende bewijsstukken: Bewijsstuk 1 Combinatieverklaring (model bijlage 3) Zie paragraaf 3.5.4 A Bewijsstuk 2 Verklaring Beroep op derde(n) (model bijlage 4) Zie paragraaf 3.5.4 B Bewijsstuk 3 Gedragsverklaring Aanbesteden (GVA) Zie paragraaf 4.1.2 Bewijsstuk 4 Verklaring betalingsgedrag belastingen en sociale premies Zie paragraaf 4.1.3 Bewijsstuk 5 Jaarrekening zonder continuïteitsparagraaf Zie paragraaf 4.2.1 A Bewijsstuk 6 Verklaring garantstelling moedermaatschappij (model bijlage 5) Zie paragraaf 4.2.1 A Bewijsstuk 7 Verklaring Financiële draagkracht en continuïteit bedrijfsvoering (model bijlage 6) Zie paragraaf 4.2.1 B Bewijsstuk 8 Bewijs van verzekering Zie paragraaf 4.2.1 C Bewijsstuk 9 Afschrift van het NEN-EN-ISO 9001-certificaat Zie paragraaf 4.2.2 C Bewijsstuk 10 Afschrift van het VCA* EN/OF VCA**-certificaat Zie paragraaf 4.2.2 D Bewijsstuk 11 Afschrift van het Wbpr-certificaat Zie paragraaf 4.2.2 E Bewijsstuk 12 Afschrift van het NEN-EN-ISO/IEC 27001-certificaat Zie paragraaf 4.2.2 E 3.6.7 Termijn verstrekken bewijsstukken De bewijsstukken ter verificatie van de Eigen Verklaring dienen, voor zover deze niet al bij Inschrijving zijn ingediend, binnen zeven (7) kalenderdagen na de verzenddatum van het verzoek tot het verstrekken van de bewijsstukken in bezit van GVB te zijn.

Inschrijver dient in dat verband te voldoen aan onderstaande normen ten aanzien van informatiebeveiliging. Inschrijver dient te beschikken en gedurende de looptijd van de Overeenkomst te blijven beschikken over een informatiebeveiligingsmanagementsysteem dat is gecertificeerd op basis van ISO/IEC 27001 of een gelijkwaardige norm en betrekking heeft op de aard van de Opdracht.

Beveiligings- en receptiediensten Aanbestedingsleidraad refnr 2026-47 Pagina 39 van 47 versie 1.0 definitief Indien Inschrijver nog niet beschikt over een ISO/IEC 27001-certificering of gelijkwaardig certificaat, dient hij bij Inschrijving aan te tonen dat een certificeringstraject is gestart dan wel uiterlijk binnen drie maanden na ingangsdatum van de Overeenkomst wordt gestart. GVB beschouwt certificaten zoals NEN 7510, BIO-conforme certificering en ISO 27701 in ieder geval als gelijkwaardige informatiebeveiligingscertificaten.

EF-4 Met het oog op de overgang in de wereld-/UN/CEFACT standaard, werkt Opdrachtnemer mee om ten behoeve van digitale facturering UBL 2.0 (NLCIUS) als uitwisselingsformaat te hanteren.

Deze koppelingen zijn essentieel voor authenticatie, communicatie en procesondersteuning. De belangrijkste integraties zijn: • Microsoft Entra ID (SAML/SSO) voor authenticatie, gebruikersprovisioning, synchronisatie van gebruikersaccounts en groepen en Single Sign-On; • Microsoft Exchange Online (SMTP/IMAP) voor inkomende en uitgaande e-mailverwerking, notificaties en het registreren van meldingen via e-mail; • IRIS, gebruikt door ORM voor het ontvangen, analyseren en opvolgen van operationele en safety - gerelateerde meldingen; • Ultimo, voor de automatische afhandeling van facilitaire en gebouwgebonden meldingen; • Azure OpenAI, toegepast binnen EWR voor AI-ondersteunde classificatie en categorisatie van meldingen; • SMS-notificatievoorzieningen via de LVNL ServiceNow- en Power Automate-omgeving; • diverse API- en webservicekoppelingen met interne en externe bedrijfssystemen.

Workaround Een tijdelijke oplossing waarmee een bedrijfsproces of functionaliteit kan worden hervat zonder dat de onderliggende oorzaak definitief is opgelost. Pagina 40 van 40 Bijlage B Afkortingen Afkorting Betekenis ACP Acceptatieomgeving API Application Programming Interface CAD Certified Application Developer CIS-ITSM Certified Implementation Specialist – IT Service Management CIS-SIR Certified Implementation Specialist – Security Incident Response CMDB Configuration Management Database CSA Certified System Administrator DEV Development omgeving DEVAPP Development Application omgeving EWR Elektronisch Wacht Rapport FSM Field Service Management ICT Informatie- en Communicatietechnologie ITIL Information Technology Infrastructure Library ITSM IT Service Management KPI Key Performance Indicator LIR LVNL Information Request LVNL Luchtverkeersleiding Nederland ORM Operational Risk Management OTAP Ontwikkeling, Test, Acceptatie en Productie PRD Productieomgeving SaaS Software as a Service SAML Security Assertion Markup Language SIR Security Incident Response SLA Service Level Agreement SLR Service Level Rapportage SPOC Single Point of Contact SSO Single Sign-On UEA Uniform Europees Aanbestedingsdocument

De opdrachtnemer treft hiertoe aantoonbaar passende en evenredige technische en organisatorische maatregelen, in lijn met gangbare normen voor informatiebeveiliging (zoals ISO 27001 of gelijkwaardig), waaronder in ieder geval: • het implementeren en onderhouden van een adequaat informatiebeveiligingsbeleid; • het beheersen van risico’s in de toeleveringsketen; • het tijdig (en onverwijld) melden van significante beveiligingsincidenten aan LVNL; • het waarborgen van bedrijfscontinuïteit, inclusief herstel- en uitwijkvoorzieningen.

Indien uw inschrijving als voorlopig winnend is aangemerkt dient u binnen 10 werkdagen ter onderbouwing van het Uniform Europees Aanbestedingsdocument (UEA) de volgende bewijsstukken in te dienen: • Uittreksel uit het Handelsregister, vanaf het tijdstip van inschrijving niet ouder dan 6 maanden; • GVA, vanaf het tijdstip van inschrijving niet ouder dan 2 jaar; • Verklaring Belastingdienst, vanaf het tijdstip van inschrijving niet ouder dan 6 maanden; • Verklaring beroep financiële en economische draagkracht derde (indien van toepassing); • Verklaring beroep technische en beroepsbekwaamheid derde (indien van toepassing); • Kwaliteitsmanagement: ISO 9001 of gelijkwaardige certificering; • Informatiebeveiligingssysteem: ISO 27001 of gelijkwaardige certificering. • Bewijsstuk ServiceNow Partner.

Pagina 27 van 40 6.5.3 Informatiebeveiliging Inschrijver beschikt over een informatiebeveiligingssysteem van zijn organisatie dat voldoet aan de eisen van ISO 27001 of gelijkwaardig.

SAML (Security Assertion Markup Language) Open standaard voor het uitwisselen van authenticatie- en autorisatiegegevens tussen partijen, in het bijzonder tussen een identiteitsprovider en een serviceprovider.

Diginetwerk Diginetwerk biedt een beveiligde infrastructuur voor extra veilige gegevensuitwisseling op eenduidige wijze tussen en met verschillende overheidsorganisaties conform een set van achterliggende afspraken en standaarden (o.a. Digikoppeling).

Het betreft normen en standaarden die de volgende ICT-kwaliteitsgebieden afdekken (tussen haakjes staan ter verduidelijking voorbeelden van betreffende normen en standaarden, waarbij opvolgende versies ook onder de normen vallen): • Architectuur (GEMMA); • Interoperabiliteit (NEN3610, Stuf, SUWIML, Digikoppeling, iWMO); • Beveiliging (Baseline Informatiebeveiliging Gemeenten); • Dataportabiliteit; • Metadatering (TMLO); • Toegankelijkheid (Webrichtlijnen); • Archivering (NEN-ISO 15489-1 NL, NEN-ISO 16175-1); • Infrastructuur (Generieke Digitale Infrastructuur, aansluiten op Stelsel van Basisregistraties); • Documentatie; • E-facturering. Veel normen en standaarden schrijven voor dat bepaalde preventieve testen worden uitgevoerd zodat aangetoond wordt dat aan de betreffende norm wordt voldaan.

Onvermijdelijke standaarden als TCP/IP, HTTPS enz.

ISO 27001 Een internationale standaard voor informatiebeveiligingsmanagementsystemen (ISMS).

Gemeenten implementeren en/of eisen ISO 27001 voor m.n. een systematische borging van informatiebeveiliging. Gegevensopslagstandaard in databases SQL De standaardtaal voor het ophalen, opslaan en bewerken van gegevens in en uit relationele databases achter gemeentelijke registratiesystemen.

Om aan zijn plichten uit artikel 38 van de Inkoopvoorwaarden te voldoen, overlegt Leverancier jaarlijks een derdenverklaring (TPM) en een ISO-certificering (ISO 27001).

Nijkerk hanteert zo mogelijk API’s i.p.v. StUF.

Waar toch nodig laatste versies van bijv.: Standaard Beschrijving StUF-BG Basisgegevens.

Faciliteert uitwisseling van basisgegevens binnen gemeenten StUF-ZKN Zaken.

Antwoord: De eis voor SOC 2 type II geldt naast de eis van ISO 27001 of gelijkwaardig (zoals NEN7510, deze certificering zien wij als gelijkwaardig voor ISO 27001).

De applicatie en/of het systeem dient te voldoen aan: •De leverancier van de applicatie is gecertificeerd voor ISO 27001 of gelijkwaardig.

wij beschikken over ISO 27001 en ISO 27701 certificaten.

De technische beveiliging van de applicatie voldoet dan: •Encryptie in transit: TLS 1.2 of hoger.

8.3 Indien de Verwerker periodiek een verklaring of certificaat (bijv. een ISO 27001-certificaat) van een onafhankelijke deskundige overlegt waaruit blijkt dat de Verwerker voldoet aan de verplichtingen uit de Verwerkersovereenkomst, de AVG en de toepasselijke wetgeving, en er geen aanwijzingen zijn van nietnaleving, is een reguliere audit niet vereist. Deze verklaring of certificaat moet bij het verlopen van de geldigheidsduur worden vernieuwd en opnieuw worden aangeleverd.

Frequentie van de uit te voeren reguliere audit: [SELECTEER ÉÉN OPTIE EN VERWIJDER DE REST. INDIEN ‘NIET VAN TOEPASSING’ WORDT GEKOZEN, SPECIFICEER HET CERTIFICAAT OF DE VERKLARING] o Eens per 2 jaar o Jaarlijks o Niet van toepassing, aangezien de Verwerker periodiek een [naam verklaring of certificaat, bijv. ISO 27001- certificaat] overlegt van een onafhankelijke deskundige waaruit blijkt dat de Verwerker voldoet aan de verplichtingen uit de Verwerkersovereenkomst, de AVG en de toepasselijke wetgeving De door Verwerker ingeschakelde Subverwerkers zijn: Subverwerker (naam en adres) Persoonsgegevens die Subverwerker verwerkt Omschrijving van de reden voor de subverwerking Land van verwerking De doorgiften naar derde landen bij de Verwerking zijn: Doorgifte naar derde landen (naam en adres partij die Persoonsgegevens ontvangt) Doel doorgifte (kostenbesparingen, schaalvoordelen of beveiligingsverbeteringen) Doorgiftemechanisme (bijv. Standard Contractual Clauses) Aanvullende maatregelen naar aanleiding van een doorgifte aan een derde land (indien van toepassing) Contactgegevens: Algemene contactgegevens Naam Functie E-mailadres Telefoonnummer Verwerkingsverantwoordelijke SURF Verwerkersovereenkomst 4.0 – Juni 2025 Page 8 of 12 Verwerker SURF Verwerkersovereenkomst 4.0 – Juni 2025 Page 9 of 12 Bijlage B: Beveiligingsmaatregelen Versienummer XX, datum: [datum] SELECTEER ÉÉN OPTIE EN VERWIJDER DE ANDERE OPTIE 1: Als Verwerker beschikt over certificaten die afdoende zijn Verwerker beschikt over de volgende geldige certificaten of verklaringen van een deskundige derde waaruit blijkt dat Verwerker voldoet aan zijn verplichting de Persoonsgegevens die hij ten behoeve van Verwerkingsverantwoordelijke verwerkt adequaat te beveiligen: Naam of nummer Toepassingsgebied Geldigheidsduur bijv. ISO 27001, NEN 7510, SOC 2 Verwerker draagt ervoor zorg dat hij gedurende deze Verwerkersovereenkomst blijft beschikken over bovenstaande certificaten of een gelijkwaardige opvolger daarvan met een nieuwe geldigheidsduur.

1 Informatiebeveiligings- en privacybeleid Verwerker heeft een informatiebeveiligings- en privacybeleid dat voldoet aan de AVG en eventuele richtsnoeren van de Autoriteit Persoonsgegevens en aansluit op algemene standaarden zoals ISO 27001/2/18, NOREA of CoBIT.

Opzet tekenbestanden conform de NLCS-standaard.

Opzet tekenbestand conform NLCS-standaard.

05 De tekeningen dienen digitaal in NLCS te worden opgesteld 06 Tekeningen digitaal (DWG formaat) en analoog aanleveren bij de opdrachtgever 07 De revisiewerkzaamheden worden verrekend op de desbetreffende besteksposten van dit bestek.