TenderNed Standaardenmonitor

3 De oplossing voldoet aantoonbaar zoveel mogelijk aan de Europese standaard EN 301 549 met WCAG 2.1 niveau AA.

Informatiebeveiliging Inschrijver beschikt uiterlijk op de uiterste datum voor het indienen van de Inschrijving over een geïmplementeerd en onafhankelijk gecertificeerd managementsysteem voor informatiebeveiliging dat voldoet aan ISO/IEC 27001:2022 of een gelijkwaardige norm.

Bewijsmiddel in te dienen binnen 10 kalenderdagen na verzoek Aanbestedende dienst: ● Een geldig ISO/IEC 27001:2022-certificaat, afgegeven door een daartoe geaccrediteerde certificerende instelling, inclusief de bijbehorende scopeverklaring; of ● een gelijkwaardig certificaat, inclusief een toelichting waaruit de gelijkwaardigheid en toepasselijke scope blijken.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

De BIO2 is gebaseerd op de laatste versie van de ISO 27001 en de ISO 27002.

Informatiebeveiliging en privacy 1 Verkeer met data of gegevens en/of toegang tot gegevens vindt uitsluitend plaats via een veilige verbinding via TLS 1.2 of hoger.

(Indien u niet in het bezit bent van een ISO 27001 certificaat).

De BIO sluit aan op de actuele, internationale standaard voor informatiebeveiliging (NEN-ISO/IEC 27001).

39 Beschrijvend document constructiesoftware Wft – DUO-EURAAN-JA-IUCN25100274 3 van 40 Bijlagen Door u in te dienen bij inschrijving Verplicht bij inschrijving Invulformulieren Invulformulier 1 Inschrijfbiljet Ja Invulformulier 2 Prijzenblad Ja Invulformulier 3 URL testomgeving praktijktest Ja Invulformulier 4 Referentieverklaring Ja Invulformulier 5 Verklaring Onderaanneming Alleen indien van toepassing Invulformulier 6 Machtigingsformulier rechtsgeldige vertegenwoordiging bij ondertekening Invulformulier I -Inschrijfbiljet Alleen indien van toepassing Invulformulier 7 Verklaring financiële en technische garantstelling concern Ja Invulformulier 8 Verklaring geen Russische betrokkenheid Ja Invulformulier 9 Verklaring beroep op andere entiteit (om te voldoen aan een geschiktheidseis) Alleen indien van toepassing Overige stukken UEA Uniform Europees Aanbestedingsdocument (UEA) via de UEA-wizard in TenderNed in PDF-format voor inschrijver/penvoerder Ja Bewijsstuk 1 Recent uittreksel(s) uit beroeps- en handelsregister niet ouder dan zes maanden Ja Via pdf-bestanden Uw uitwerking van het programma van wensen Ja Bewijsstuk 4 Beroepsaansprakelijkheidsverzekering Ja Bewijsstuk 5 ISO 27001 of gelijkwaardig Ja Indienen bij verificatie UEA van de winnende inschrijver(s) Bewijsstuk 2 Gedragsverklaring aanbesteden (niet ouder dan twee jaar) Bewijsstuk 3 Verklaring van de Belastingdienst (niet ouder dan zes maanden) Overzicht bijbehorende documenten Bijlage 1a Programma van eisen (PvE) Bijlage 1b Programma van eisen-uitvoeringseisen Bijlage 2 Omschrijving praktijktest-onderdeel programma van eisen Bijlage 3 Programma van wensen (PvW) Bijlage 4a Format invulling PvW kwaliteitscriterium 1 (G1) Bijlage 4b Format invulling PvW kwaliteitscriterium 2 (G2) Bijlage 4c Format invulling PvW kwaliteitscriterium 3 (G3) Bijlage 4d Format invulling PvW kwaliteitscriterium 4 (G4) Bijlage 5 Concept Dienstverleningsovereenkomst Bijlage 6 Concept Verwerkersovereenkomst Bijlage 7 ARBIT-2022 Bijlage 8 Begrippenlijst Bijlage 9 Brochure e-factureren Rijksoverheid Bijlage 10 Financiële bijsluiter e-facturatie 2023 DUO Bijlage 11 Verslag marktconsultatie Beschrijvend document constructiesoftware Wft – DUO-EURAAN-JA-IUCN25100274 4 van 40 1.

Verder werden genoemd: -ISO 9001 -ISO 27017 -ISO 27018 -ISO 27002 -1EDTECH QTI v3.0 6.

Koppeling Uitvoeringseis 1 Het product wisselt via de EDU koppeling gegevens uit met de opdrachtgever middels: -Uitwisseling vindt plaats uitsluitend via een mTLS verbinding. (tenmiste TLS 1.2 of TLS 1.3) -In de uitwisseling vindt identificatie uitsluitend met PKIo certificaten plaats.

(Encryptie Data in transit: TLS 1.3 (zie: https://www.forumstandaardisatie.nl/open-standaarden/tls)) 63 Het systeem wordt gehost op afzonderlijke hardware, of in een zodanig gedeelde infrastructuur (multi-tenant omgeving), dat de beveiliging van de omgeving van de HAN niet in gevaar kan worden gebracht.

SSO integration design; configuration showing use of OpenID Connect, SAML 2.0 or domain join; test reports for SSO login flows; documentation of trust relationships with Enexis IdP(s); screenshots/logs of successful SSO authentication.

Must 75 Support The application must support single sign‐on (SSO) for users using at least one of the following standards: OpenID Connect (OIDC), SAML 2.0 or domain join (domain join only for non‐SaaS scenarios).

Must 77 Support If SAML is used for SSO, the supplier must configure automatic certificate roll‐over by regularly retrieving and applying updated metadata from the identity provider, and must handle changes to SAML metadata and certificates through the change management process.

Aanvragen 2-5 Het portaal ondersteunt de handmatige intekening van projectgebieden, alsmede de geautomatiseerde (bulk)upload van projectgebieden via minimaal de bestandsformaten [GeoJSON, DXF, DWG, GeoPackage, Shapefile en XML].

Daarnaast ondersteunt het portaal blijkens eis 2-5 de handmatige intekening en de geautomatiseerde (bulk)upload via minimaal GeoJSON, DXF, DWG, GeoPackage, Shapefile en XML, en blijkens eis 2-14 het in een keer inlezen van niet-aaneengesloten traces.

Welk XML-schema bedoelt u: GML, SIKB0101, iets anders?

En telt hosting bij een ISO 27001-gecertificeerde cloudprovider, samen met het certificaat van de inschrijver voor de eigen organisatie, als dekking van de "fysieke locaties"?

Planning op hoofdlijnen ▪ Informatiebijeenkomst: donderdag 10 september 2026, 15:00 – 16:00 uur ▪ Vragen stellen tot uiterlijk: vrijdag 18 september 2026 ▪ Indienen Aanmelding voor: maandag 12 oktober 2026 (09:00 uur) ▪ Beoordelen Aanmeldingen (incl. verificatie bewijsstukken): 12 t/m 15 oktober 2026 ▪ Selectiebeslissing (toelating tot dialoogfase): vrijdag 16 oktober 2026 (alleen Gegadigden die geschikt zijn bevonden, worden uitgenodigd voor de dialoog) Gunningsbeslissing: volgt ná de dialoog- en inschrijvingsfase (naar verwachting vrijdag 12 februari 2027) Eisen aan de inschrijvers ▪ Inschrijving in het nationale beroeps- of handelsregister (KvK) ▪ ISO 9001:2015 (Kwaliteitsmanagement) en ISO 27001 (Informatiebeveiliging), geldig voor de locatie(s) waar de werkzaamheden worden uitgevoerd, of aantoonbaar gelijkwaardig, dan wel een aantoonbaar lopend certificeringstraject (zie GE-4 en GE-5) ▪ Bedrijfsaansprakelijkheidsverzekering (min. € 2.500.000) én beroepsaansprakelijkheidsverzekering (min. € 1.000.000) Enexis Personeel B.V. – Selectieleidraad Zelfscan as a Service – Conditionerende onderzoeken Pagina 4 van 28 ▪ Twee kerncompetenties: (1) SaaS-platform en IT-integratie, aan te tonen met maximaal twee referentieopdrachten die gezamenlijk de gevraagde elementen afdekken; (2) inhoudelijke expertise conditionerende onderzoeken, aan te tonen met maximaal één referentieopdracht.

▪ Prijs (TCO): n.v.t. in de aanmeldfase — er wordt geen prijs gevraagd bij de Aanmelding Bijlagen bij deze Selectieleidraad ▪ Bijlage 1 – Uniform Europees Aanbestedingsdocument (UEA) ▪ Bijlage 2 – Referentieverklaring ▪ Bijlage 3 – Concept Programma van Eisen ▪ Bijlage 4 – Concept NFR-Architectuur ▪ Bijlage 5 – Concept KPI-set ▪ Bijlage 6 – Samenvatting Marktconsultatie ▪ Bijlage 7 – Enexis Gedragscode voor Leveranciers (Supplier Code of Conduct) ▪ Bijlage 8 – Ruslandverklaring ▪ Bijlage 9 – Toekomstvisie Conditionerende Onderzoeken Enexis ▪ Bijlage 10 – Combinatieverklaring ▪ Bijlage 11 – Holdingverklaring ▪ Bijlage 12 – Concept Governance en Rapportage ▪ Bijlage 13 – Concept SLA ▪ Bijlage 14 – Algemene Inkoopvoorwaarden Gezamenlijke Opdrachten Netbeheerders ▪ Bijlage 15 – Presentatie Informatiebijeenkomst In te dienen documenten ▪ Bijlage 1 – UEA, rechtsgeldig ondertekend ▪ KvK-uittreksel (niet ouder dan 6 maanden) — GE-1 ▪ Bewijs financiële en economische draagkracht (Graydonrapportage of gelijkwaardig kredietinformatierapport, óf accountantsverklaring) — GE-2 ▪ Bewijs bedrijfs- én beroepsaansprakelijkheidsverzekering — GE-3 ▪ Bewijs ISO 9001:2015-certificering (incl. scope/locatie) — GE-4 ▪ Bewijs ISO 27001-certificering (incl. scope/locatie) — GE-5 ▪ Verklaring gegevensbescherming en dataverwerking binnen de EER — GE-6 ▪ Bijlage 2 – Referentieverklaring(en) (max. twee voor kerncompetentie 1, max. één voor kerncompetentie 2; één referentieopdracht mag beide kerncompetenties afdekken) ▪ Verklaring betalingsgedrag Belastingdienst ▪ Verklaring m.b.t. sancties Rusland (Bijlage 8) ▪ Combinatieverklaring (Bijlage 10) indien van toepassing ▪ Holdingverklaring (Bijlage 11) indien van toepassing Enexis Personeel B.V. – Selectieleidraad Zelfscan as a Service – Conditionerende onderzoeken Pagina 5 van 28 DEFINITIES In deze Selectieleidraad hebben de onderstaande begrippen de volgende betekenis wanneer zij met een hoofdletter geschreven zijn: Naam of afkorting Omschrijving Aanbestedende Dienst Enexis Personeel B.V., mede handelend ten behoeve van de overige tot de groep behorende ondernemingen, waarbij Enexis Personeel B.V. als een speciale sectorbedrijf kwalificeert.

De exacte afbakening tussen background IP van Opdrachtnemer en de voor Opdrachtgever gegenereerde resultaten is onderwerp van de dialoogfase en wordt vastgelegd in de concept-(raam)overeenkomst. Fase: Aanmeldfase Inschrijfronde: - Vragenronde: Vragenronde 1 Nota van inlichtingen TN-609402 - 25 sep 2026 Pagina 21 van 160 Beantwoord op: 25 sep 2026 Percelen: P1 Zelfscan as a Service - Conditionerende Onderzoeken Ref.nr. Onderwerp: 35 Bijlage 3 - Concept Programma van Eisen, eis 5-3 "Data-uitwisseling met bevoegd gezag en Opdrachtgever geschiedt conform de vigerende SIKB0101 protocollen", pagina 7 van 9.

In welk formaat (SIKB0101?)

5-3 Data-uitwisseling met bevoegd gezag en Opdrachtgever geschiedt conform de vigerende SIKB0101 protocollen.

Must 54 Security & Privacy Cryptography All data in transit between clients, services and integrated systems that involve customer data must be protected using strong, up‐to‐date cryptographic protocols (for example TLS 1.2 or higher) and secure configurations (no weak ciphers, no deprecated protocols).

76 Van de inspectie dient een rapportage te worden aangeleverd welke bestaat uit de volgende onderdelen: a. digitaal beeldmateriaal: - inspectievideo's; - 3D-kogelbeeldopnamen; - foto's. b. zelfstartende viewers, geschikt voor Windows 7, 8, 9 en 10 waarmee door het aanklikken van de geconstateerde schadeclassificatie de bijbehorende videobeelden, hellinghoekmeting en, indien uitgevoerd tijdens de inspectie, de 22606 NIEUWBOUW BESTEK BUITENRUIMTE_DEFINITIEF_V2.0.bestek RAW0083-157824 26-05-2026 Nieuwbouw kantoor- en trainingsgebouw op de vliegbasis Gilze-Rijen, Bladnr. 105 van 117 Besteknummer 22606.29 RVB RAW-besteksjabloon versie 03-2025 HFD PAR ART LID bijbehorende radarinspectie in beeld worden gebracht; c. riool-inspectiebestanden in Standaard Uitwissel Formaat voor riool inspectiebestanden (RibX of GWSW Ribx); d. riool-meetbestand met hellinghoekmeting in RibX en/ofof GWSW Ribx; e. tekening(en) met daarop aangegeven op welke data de afzonderlijke rioolstrengen zijn geïnspecteerd, de IDnummering van de strengen en welke ernstige gebreken geconstateerd zijn.

De inspectiegegevens moeten op een externe harde schijf, zonder voeding, worden opgeslagen, onder DOS, volgens het Rioolinspectie Bestand (RibX) en/of GWSW.RibX bestand van de stichting Rioned. Afwijkingen van het RibX dienen door de aannemer te worden hersteld, op zijn kosten.

73 De rapportage dient per deelopdracht aangeleverd te worden op minimaal een externe harde schijf met een USB 2.0 aansluiting. De rapportages dienen te zijn opgesteld in het Standaard Uitwisselings Formaat voor rioolinspectiebestanden RibX en tevens in pdf-formaat.

IPv6 wordt niet ondersteund.

Beschrijving IEEE 802.1x WPA2-Enterprise authenticatie en autorisatie is op verschillende manieren mogelijk.

De voorkeur gaat uit naar gebruik van: 1a – PEAP-MSCHAPv2 1b – EAP-TLS Alleen als WPA2-Enterprise niet mogelijk is, mag met toestemming gebruikgemaakt worden van WPA2-Personal (PSK).

Daarmee wordt immers in combi met een geldige ISO 27001 certificering in beginsel invulling gegeven aan het bepaalde in (het 3 e gedachtestreepje van) paragraaf 3.2.5 van het Aanbestedingsdocument: “Indien inschrijver niet kan voldoen aan het leveren van het ISO 9001:2015 certificaat, of gelijkwaardig, dient inschrijver een beknopte beschrijving van de genomen maatregelen op gebied van kwaliteitsmanagement in te dienen.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

19 3.2.2 Technische bekwaamheid en beroepsbekwaamheid: ISO 27001 ............................................

Naast de algemene gegevens, zoals vermeld in artikel 20.2 van de AIV, bevat een factuur: Alle verplichte elementen zoals genoemd in de EN 16931-1 (NLCIUS).

Mijnlieffstraat 1, 1761 BK Anna Paulowna Teamnaam en naam opdrachtgever: *teamnaam invullen + naam Omschrijving opdracht: *invullen Contractnummer: *invullen Contractant gebruikt de volgende gegevens voor de e-facturatie via Peppol: Organisatie identificatienummer(OIN): 00000001823495255000 Bedrijfscode: ALG Endpoint voor peppol: hkroon/e-facturen PaymentMeansCode: codelijst UN/EDIFACT en NLCIUS: 58 SEPA Bankoverschrijving 59 SEPA Incasso Gemeente heeft, in aanvulling op artikelen 17.1, 19 en 20.4 van de AIV, het recht het bedrag van de factuur te verminderen met bedragen die Contractant verschuldigd is aan Gemeente, ongeacht of de vordering tot betaling daarvan op een derde is overgegaan.

Bijlage 2: Digipoort Facturen die aangeleverd worden via Digipoort, dienen op onderstaande manier te worden verstuurd:  De factuur dient in Xml-format via Digipoort te worden gestuurd naar het COA OIN 00000001803660406000;  De factuur dient te voldoen aan de NLCIUS (Nederlandse Core Invoice Usage Specifications);  Bijbehorende bijlage(n) dienen bij het Xml-bestand als bijlage toegevoegd te worden;  De datum van aanlevering via Digipoort is gelijk aan de factuurdatum die het COA hanteert v.w.b. de betaaltermijn van 30 dagen; - herinneringen, aanmaningen en kopie facturen moeten gemaild worden naar fahelpdesk@coa.nl.

Bijlage 2: Digipoort Facturen die aangeleverd worden via Digipoort, dienen op onderstaande manier te worden verstuurd:  De factuur dient in Xml-format via Digipoort te worden gestuurd naar het COA OIN 00000001803660406000;  De factuur dient te voldoen aan de NLCIUS (Nederlandse Core Invoice Usage Specifications);  Bijbehorende bijlage(n) dienen bij het Xml-bestand als bijlage toegevoegd te worden;  De datum van aanlevering via Digipoort is gelijk aan de factuurdatum die het COA hanteert v.w.b. de betaaltermijn van 30 dagen; - herinneringen, aanmaningen en kopie facturen moeten gemaild worden naar fahelpdesk@coa.nl.

Medewerker Authenticatie & SSO • SAML 2.0 of nieuwer • OIDC, OAUth 2.0 of nieuwer • RBAC • Least privilige • Vereist is een koppeling met de gemeentelijke, Entra ID op basis van een van de genoemde standaarden.

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Verbinding • HTTPS • HSTS • TLS 1.2 of nieuwer • DNSSEC • TLS 1.3 of nieuwer • IPv6 • Voor burgers en bedrijven toegankelijke voorzieningen moeten zowel via IPv4 als IPv6 bereikbaar zijn.

Kunt u toelichten welke standaarden en technieken u hanteert bij het ontwikkelen en onderhouden van deze koppelingen (zoals bijvoorbeeld iStandaarden, API’s, of Digikoppeling)?

Onder websites vallen ook intra- en extranetten en cloudapplicaties volgens de Europese definitie (zie https://www.digitoegankelijk.nl/wetgeving/specifieke-situaties/intranetten-extranetten-en-cloudapplicaties).

6.3 Normen en standaarden Nr. Standaard/norm Bronnen/referenties E1 Europese standaard EN 301 549 met WCAG 2.1 digitoegankelijk.nl en forumstandaardisatie.nl/standaard/ digitoegankelijk-en-301-549-met-wcag-21 6.4 Tips en toelichting 1.

Op digitoegankelijk.nl/wetgeving/wat-verplicht is beschreven welke verplichtingen gelden, o.a. voor het publiceren van een toegankelijkheidsverklaring. 3.

Verbinding • HTTPS • HSTS • TLS 1.2 of nieuwer • DNSSEC • TLS 1.3 of nieuwer • IPv6 • Voor burgers en bedrijven toegankelijke voorzieningen moeten zowel via IPv4 als IPv6 bereikbaar zijn.

8.3 Normen en standaarden Nr. Standaard/norm Bronnen/referenties G1 Aansluiten op voorzieningen uit de GDI Het overzicht van de GDI is gegeven op digitaleoverheid.nl/mido/generieke-digitaleinfrastructuur-gdi 22 G2 Aansluiten op gemeentelijke voorzieningen en afspraken: - Ondersteunen IPv6 - GGI Netwerk - Aansluiting op Gemeentelijk GegevensKnooppunt (GGK) - Nationaal Parkeer Register De GGI wordt onder regie van VNG Realisatie doorontwikkeld: https://vng.nl/artikelen/ gemeentelijke-gemeenschappelijkeinfrastructuur-ggi Richtlijnen voor IPv6 in ICT-apparatuur: forumstandaardisatie.nl/sites/ bfs/files/atoms/files/ripe-554-nl.pdf G3 Toepassen Haven binnen het werkingsgebied van deze standaard (zie ook toelichting hieronder) haven.commonground.nl/techniek/de-standaard 8.4 Tips en toelichting 1.

Verbinding • HTTPS • HSTS • TLS 1.2 of nieuwer • DNSSEC • TLS 1.3 of nieuwer • IPv6 • Voor burgers en bedrijven toegankelijke voorzieningen moeten zowel via IPv4 als IPv6 bereikbaar zijn.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

De Aanbestedende dienst moet met de voorgestelde oplossing volledig kunnen voldoen aan de Privacy-wetgeving (AVG), de Baseline Informatiebeveiliging Overheid (BIO) of ISO 27001 en Archiefwet.

Bewijs hiervan kan worden geleverd door het beschikken over een actueel bewijs van certificering conform ISO 27001 (of ISAE 3000).

10.3 Normen en standaarden Nr. Standaard/norm Bronnen/referenties I1 EN16931 en NLCIUS forumstandaardisatie.nl/openstandaarden/nlcius 10.4 Tips en toelichting 1.

NLCIUS is een aanvullende nationale specificatie op EN16931 voor toepassing in Nederland.

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Ten opzichte van de StUF-standaarden sluiten deze API-standaarden beter aan bij door softwareontwikkelaars gebruikte industriestandaarden.

Informatielaag 5 Voor de uitwisseling van gegevens is het gebruik van de meest actuele StUFstandaarden, waar deze bestaan en nog niet vervangen zijn door een API-standaard, verplicht.

Verbinding • HTTPS • HSTS • TLS 1.2 of nieuwer • DNSSEC • TLS 1.3 of nieuwer • IPv6 • Voor burgers en bedrijven toegankelijke voorzieningen moeten zowel via IPv4 als IPv6 bereikbaar zijn.

Europese aanbesteding Sociaal Domein Applicatie, gemeente Midden-Drenthe, zaaknummer 5014298 6 De Oplossing omvat diverse koppelingen en berichtenuitwisselingen: - met ketenpartners (o.a. iBerichten, DKD-uitwisseling, IB-berichten, CORV, CBS-leveringen); - met externe partijen ten behoeve van bedrijfsvoering (o.a. XBRL, SEPA); - met (generieke) voorzieningen in het applicatielandschap van Gemeente Midden-Drenthe (o.a. financieel Systeem, DocumentcreatieSysteem, DWH/BI, Makelaarsuite).