TenderNed Standaardenmonitor

3.4.2.2 Informatiebeveiliging en kwaliteitsborging Vervoerregio Amsterdam hecht waarde aan informatiebeveiliging en kwaliteitsborging. Daarom gelden de volgende minimumeisen: Informatiebeveiliging • Inschrijver beschikt over een geldig ISO/IEC 27001-certificaat of een gelijkwaardig niveau van informatiebeveiliging. Onder gelijkwaardig wordt verstaan een aantoonbaar en structureel ingerichte vorm van informatiebeveiligingsmanagement, waarmee inschrijver kan onderbouwen dat de vertrouwelijkheid, integriteit en beschikbaarheid van informatie geborgd is op een niveau vergelijkbaar met ISO/IEC 27001.

(vermeld normenstelsel, zoalsbijvoorbeeldNEN7510,NEN/ISO 27001, PCI/DSS).

Alleen Derde* waarop een beroep wordt gedaan voor de geschiktheidseisen inzake de verzekering** ISO 27001 of gelijkwaardig zoals beschreven in Hoofdstuk 3 van de Aanbestedingsleidraad Ja Ja N.v.t. *) Dit betekent dat als een andere onderneming uitsluitend wordt ingeschakeld als Onderaannemer voor de uitvoering van een deel van de Opdracht, zonder dat een beroep op deze Onderaannemer nodig is om aan de geschiktheidseisen te voldoen, geen bewijsstuk van deze Onderaannemer nodig is.

De door opdrachtnemer genoemde certificeringen (ISO 9001, ISO 27001 en NEN7510) worden uiteraard als belangrijk bewijs van kwaliteit en informatiebeveiliging erkend.

44 Wij beschikken over een ISO 9001, ISO 27001 en NEN7510 certifcaat en worden periodiek gecontroleerd.

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

Deze taken betreffen in ieder geval: a. Het stelselmatig toetsen van de beheersmaatregelen en het treffen van adequate verbetermaatregelen indien de beheersmaatregelen ontoereikend zijn om het afgesproken beveiligingsniveau te borgen; b. Het inrichten, in stand houden en toepassen van een kwaliteitssysteem, teneinde de naleving van de BVO ook na wijzigingen te kunnen garanderen; c. Logisch beheren van de software, gegevens en andere middelen; d. Op eigen initiatief contact opnemen met Opdrachtgever, indien bevindingen uit een risicoanalyse of de kwaliteitsbeheersing van Opdrachtnemer daartoe aanleiding geven; e. Fysiek en/of logisch beheren van de gebruikte componenten; f. Beheren van registraties van autorisaties; g. Fysiek en/of logisch toekennen en intrekken van autorisaties; h. Beheren van apparatuur op afstand; i. Beheersen van de personele bezetting; Artikel 12 Bepalingen ten aanzien van Systemen (Hard- en Software) Artikel 12.1 Ontwikkeling van systemen conform SSD Opdrachtnemer voldoet aan de eisen uit Grip op Secure Software Development, ISO 27001:2017 en relevante controls van de ISO 27002:2017 ten aanzien van de software die ingezet wordt.

Opdrachtnemer draagt er, binnen de reikwijdte van zijn Dienst op grond van de Overeenkomst, zorg voor dat Opdrachtgever te allen tijde kan voldoen aan de volgende wetgeving en standaarden voor Informatiebeveiliging: a. Algemene Verordening Gegevensbescherming b. Wet Digitale Overheid/Wet Structuur Uitvoeringsorganisatie Werk en Inkomen c. Baseline Informatiebeveiliging Overheid /ISO 27001:2017/relevante controls ISO 27002:2017 d. Grip op Secure Software Development/Open Web Application Security Project 2.

Opdrachtnemer dient, voor de onder de Overeenkomst overeengekomen Diensten, op basis van ISO 27001:2017 (of gelijkwaardig), gecertificeerd te zijn en te blijven of over een aantoonbare gelijkwaardige baseline op het gebied van Informatiebeveiliging te beschikken.

Deze taken betreffen in ieder geval: a. Het stelselmatig toetsen van de beheersmaatregelen en het treffen van adequate verbetermaatregelen indien de beheersmaatregelen ontoereikend zijn om het afgesproken beveiligingsniveau te borgen; b. Het inrichten, in stand houden en toepassen van een kwaliteitssysteem, teneinde de naleving van de BVO ook na wijzigingen te kunnen garanderen; c. Logisch beheren van de software, gegevens en andere middelen; d. Op eigen initiatief contact opnemen met Opdrachtgever, indien bevindingen uit een risicoanalyse of de kwaliteitsbeheersing van Opdrachtnemer daartoe aanleiding geven; e. Fysiek en/of logisch beheren van de gebruikte componenten; f. Beheren van registraties van autorisaties; g. Fysiek en/of logisch toekennen en intrekken van autorisaties; h. Beheren van apparatuur op afstand; i. Beheersen van de personele bezetting; Artikel 12 Bepalingen ten aanzien van Systemen (Hard- en Software) Artikel 12.1 Ontwikkeling van systemen conform SSD Opdrachtnemer voldoet aan de eisen uit Grip op Secure Software Development, ISO 27001:2017 en relevante controls van de ISO 27002:2017 ten aanzien van de software die ingezet wordt.

3.4.7 Alle rapportages moeten voldoen aan de WCAG 2.1 AA richtlijnen (laatst beschikbare versie).

Passende technische en organisatorische maatregelen Onderdeel Baseline Informatiebeveiliging Overheid (BIO): onze organisatie volgt de SURF baseline die evenals de BIO is afgeleid van de ISO 27001.

Opdrachtnemer levert inzichten in voortgang via een digitaal toegankelijk format op en toont aan dat deze voldoen aan de wettelijk verplichte digitale toegankelijkheidsstandaard WCAG 2.1, niveaus A en AA.

Nr. Onderwerp Perceel Vraag Antwoord 1 Programma van eisen Algemeen Alle Percelen bij punt 1.7 eis 34: Dient de opdrachtnemer inzicht te leveren in de voorgang via een digitaal toegankelijk format en moet aantonen dat deze voldoet aan de wettelijke verplichte digitale toegankelijkheidsstandaard WCAG 2.1 niveau A en AA.

ISO 27001 is een internationale norm voor informatiebeveiliging, terwijl de AVG (Algemene Verordening Gegevensbescherming) een Europese wet is die de verwerking van persoonsgegevens regelt.

Wizzr is ISO 27001 gecertificeerd en voldoet aan de AVG.

Wizzr heeft de ISO 27001 certificering behaald om aan te tonen dat het systeem voldoet aan de eisen voor informatiebeveiliging en privacy.

Geef aan welke normen van toepassing zijn (bijvoorbeeld ISO 27001, ISO 22301, SOC-rapportages of vergelijkbare standaarden) en op welke onderdelen van de dienstverlening deze betrekking hebben.

05 Integratie en koppelingen X X IV.5.08 Indien de SAAS applicatie mail namens gemeente Delft of haar klanten stuurt, wordt voldaan aan de volgende standaarden: DKIM, SPF, DMARC, STARTTLS en DANE.

Hierbij wordt het DKIM key management bij voorkeur door de 3rd party mailer gedaan door middel van het gebruik van een DKIM CNAME DNS constructie in de DNS zone van het sender domain.

05 Integratie en koppelingen X X IV.5.08 Indien de SAAS applicatie mail namens gemeente Delft of haar klanten stuurt, wordt voldaan aan de volgende standaarden: DKIM, SPF, DMARC, STARTTLS en DANE.

81 Coolscan Nikon 82 Core Microsoft 83 Coreldraw Corel 84 CPA Register Logius 85 Creative Suite Premium Adobe 86 CrisisConnect App CrisisConnect 87 CROW Online Kennisbank Crow 88 CrushFTP CrushFTP 89 Cryptshare Befine Solutions AG 2000 90 CTM-Solution (DAS) CTM Solution 91 Cylock Sellox 92 Damot Onbekend 93 DASC GBA SPSS Nederland 94 Data Transfer Trimbol 95 Datawarehouse Gemeente Delft 96 De Delftse School Studytube 97 Deborah RAAP Archeologisch Advies 98 Delft.nl IoDigital 99 DelftGPT Arkintel 100 Delftpas BS&F 101 Design Adobe 102 Design Review Autodesk 103 Desktop Director Citrix 104 Deztaplan VISMA | RoxIT 105 DG Dialog BGT Sweco 106 DG Dialog Topografie Sweco 107 DigiD Ministerie van BZK 108 Diginetwerk Logius 109 DIS Burgerzaken Centric IT-Solutions 110 DISCS Min. Veiligheid en Justitie 111 Djuma Circle software 112 DMARC Advisor DMARC advisor 113 dmarcian dmarcian Europe BV 114 DOCKING STATION Hewlett-Packard 115 Dragon Naturally Speaking Scansoft 116 DROP Overheid.nl 117 Drupal Drupal.org 500 118 DSO IPLO 119 DSS Player Olympus 120 DUO Portaal Inburgering DUO 121 DutyFlow OrcaGroup 122 DWG Trueview Autodesk 2000 123 Dymo labelwriter Dymo 124 Easy Cash Cikam B.V. 125 Easy Thumbnails Fookes Software 126 Easyfunders Ivengi 127 eConnect Econnect 128 EcoStruxture IT Gateway X-ICT 129 ECW for ArcGIS Server Hexagon Geospatial 130 E-depot DiVault 131 Edge Microsoft 2900 132 Edilon rekenprogramma 133 eHerkenning Ministerie van Economische Zaken 134 Engage Process Suite Engage Process 135 ENSIA Totta Research 136 Enterprise Architect Sparx Systems 137 Enterprise Architect Viewer Sparx Systems 138 Entra ID Microsoft 139 ePolicy Orchestrator Trellix 140 Erdas Foundation Hexagon Geospatial 141 ERPx Delftse Dukaten Unit4 142 Excel Microsoft 2900 143 Excelerator (U4) Unit4 144 Exchange Server Enterprise Microsoft 145 Exchange Service Manager 2003 Microsoft 146 Expoints Expoints 147 Expression Epson 148 Extension Kit (U4) Unit4 149 File2share verkenner File2share 150 FileLinx FileLinx 151 Fincent Innovadis 152 Firebug Mozilla 2900 153 FME Desktop Oracle Edition Safe Software 154 FME ESRI Suite Safe Software 155 FondsenDisk Onbekend 156 Fonts Collectie Gemeente Delft 157 Fortimail Forti 158 Freemind Joerg Muller 159 Funderingen ten Hagen en Stam 160 GB Pro Onbekend 161 GDIndex NGV 162 GEM Gemeente Delft 163 GEMNet KPN 164 GeoServer Sweco 165 GeoVisia Progresity 166 Geoweb Esri Nederland BV 167 Get Dialog Dialog 168 Gezondverzekerd.nl BS&F 169 GIR AENO 170 GIR Handhaven DUO 171 GISKit Plan GISKit 172 GitHub Onbekend 173 GitLab Onbekend 174 Gladheidsbestrijding Jewel 175 GoodHabitz GoodHabitz 176 Google Earth Google 177 GovMetric GovMetric 178 GPR Gebouw GPR Gebouw 179 Graylog Graylog 180 Greenshot Onbekend 181 Grip op participatiewet Kluwer 182 Grip op schuldhulpverlening Kluwer 183 GWW Besteksadministratie Brink 184 GWW Bundel Brink 185 Gyrotools pro Gyration 186 H5 Basisbeeld OGD 187 Handboek Leerlingenvervoer SDU Uitgevers 188 Handleiding Burgerzaken Amsterdam Gemeente Amsterdam 189 HASP en Hardlock driver Aladdin Knowledge Systems Ltd.

De integratie laag bestaat (p.a.) uit een XML-gateway met o.a. ontsluiting van DigiD en e-Herkenning, ESB, Digikoppeling en sFTP oplossing. Als het netwerk van de gemeente Delft als bron, doel of intermediair is betrokken bij een koppeling, dan moet gebruik gemaakt worden van de componenten van de integratie laag, tenzij anders overeengekomen.

03 Website en/of webinterface X IV.3.04 Er worden geen advertenties ingevoegd in pagina’s en diensten die gekoppeld zijn aan de kerntaken van de gemeentelijke dienstverlening. 03 Website en/of webinterface X IV.3.05 Er wordt blijvend voldaan aan de meest actuele toegankelijkheidseisen zoals beschreven op https://www.digitoegankelijk.nl/ 03 Website en/of webinterface X X IV.3.06 De website waarop en/of webinterface waarmee de SAAS applicatie aangeboden wordt dient te voldoen aan een minimale A rating bij resp. Qualys SSL Labs (https://www.ssllabs.com/) en Securityheaders.com (https://www.Securityheaders.com).

7.4 Open standaarden worden toegepast conform het 'pas toe of leg uit'-beleid van Forum Standaardisatie, inclusief IPv6/IPv4 ondersteuning. Het portaal voldoet aan OWASP-richtlijnen en maakt gebruik van encrypted verbindingen (data in use, in motion en at rest).

Kopie van geldig ISO 27001 of gelijkwaardig certificaat of een eigen milieuhandboek Geschillen Iedere Inschrijver kan nadere informatie/toelichting op de beoordeling van zijn Inschrijving inwinnen.

Inschrijver kan op de volgende wijze aantonen hieraan te voldoen: ● Een certificaat, opgesteld door een onafhankelijke instantie, ISO 27001 of gelijkwaardig, geldig op de sluitingsdatum van de Inschrijvingstermijn van deze aanbesteding (u volstaat met het toevoegen van een kopie van het certificaat).

(vermeld normenstelsel, zoals bijvoorbeeld NEN7510, NEN/ISO 27001, PCI/DSS) en is volgens deze norm wel/niet gecertificeerd.

05 Integratie en koppelingen X X IV.5.08 Indien de SAAS applicatie mail namens gemeente Delft of haar klanten stuurt, wordt voldaan aan de volgende standaarden: DKIM, SPF, DMARC, STARTTLS en DANE.

08 Standaarden X X Checklist Kwaliteitsnormen GIBIT IV.8.03 De applicatie met haar koppelingen voldoet aan de gestelde eisen binnen de volgende documenten: - National Cyber Security Center (NCSC), met als aanvulling dat de verbindingen worden opgezet op basis van TLS 1.2 of hoger; - De ICT kwaliteitsnormen behorende bij de GIBIT; - Baseline Informatiebeveiliging Overheid (BIO).

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Het domein ‘infrastructuur’ omvat onder andere de bouwstenen ‘Diginetwerk’, ‘Digikoppeling’ en ‘PKIoverheid’.

Onder websites vallen ook intra- en extranetten en cloudapplicaties volgens de Europese definitie (zie digitoegankelijk.nl/aan-de-slag/tips/intranetten).

6.3 Normen en standaarden Nr. Standaard/norm Bronnen/referenties E1 Europese standaard EN 301 549 met WCAG 2.1 digitoegankelijk.nl en forumstandaardisatie.nl/standaard/ digitoegankelijk-en-301-549-met-wcag-21 6.4 Tips en toelichting 1.

Op digitoegankelijk.nl/wetgeving/wat-verplicht is beschreven welke verplichtingen gelden, o.a. voor het publiceren van een toegankelijkheidsverklaring. 3.

Alle overheidsorganisaties moeten ook via IPv6 bereikbaar zijn.

Om te voorkomen dat websites en apparaten onbereikbaar worden is Internet Protocol versie 6 (IPv6) ontwikkeld.

Zie: digitaleoverheid.nl/mido/ generieke-digitale-infrastructuur-gdi/ domein-infrastructuur/ G2 Ondersteunen IPv6 Richtlijnen voor IPv6: forumstandaardisatie.nl/open-standaarden/ ipv6-en-ipv4.

Informatiebeveiliging De inschrijver beschikt over een vastgelegd en gecertificeerd managementsysteem voor informatiebeveiliging (ISMS), dat periodiek wordt getoetst volgens ISO 27001 door een geaccrediteerde instelling. Van de inschrijver met de beste prijs-kwaliteitverhouding wordt gevraagd een kopie van het betreffende certificaat en de Verklaring van Toepasselijkheid (VVT) te overleggen.

Inschrijver verklaart in eerste instantie dat hij voldoet aan de geschiktheidseisen door middel van het invullen en indienen van de Eigen Verklaring. Bewijsstukken Geschiktheidseisen zoals in de volgende paragrafen omschreven - technische bekwaamheid, referenties: ingevulde referentieverklaring - technische bekwaamheid, informatiebeveiliging: kopie geldig ISO 27001 certificaat met verklaring van toepasselijkheid voor de af te nemen diensten (indien van toepassing ook voor combinanten en/of onderaannemers) In onderstaande paragrafen zijn bovengenoemde criteria verder uitgewerkt en staat beschreven hoe de inschrijver aan kan tonen geschikt te zijn voor de uitvoering van de werkzaamheden.

Aanbestedingsdocument GR Peelgemeenten – Applicatie schulddienstverlening 15 van 26 Informatiebeveiliging De inschrijver heeft een vastgelegd en gecertificeerd managementsysteem voor informatiebeveiliging (ISO 27001, NEN 7510 certificaat), dat periodiek door een geaccrediteerde instelling wordt getoetst. 3.4.

3.4 Beveiliging De infrastructuur en organisatie van de dienstverlener (inclusief rekencentra) zijn adequaat (en gecertificeerd) beveiligd volgens ISO/IEC 27001 en ISO/IEC 27002.

10.3 Normen en standaarden Nr. Standaard/norm Bronnen/referenties I1 EN16931 en NLCIUS forumstandaardisatie.nl/openstandaarden/nlcius 10.4 Tips en toelichting 1.

NLCIUS is een aanvullende nationale specificatie op EN16931 voor toepassing in Nederland.

Om de implementatie van beveiligingstandaarden op de lijst open standaarden van het Forum Standaardisatie te ondersteunen, ontwikkelt de IBD regelmatig factsheets bij daarin opgenomen open standaarden (zoals, TLS, DNSSEC, SPF/DKIM/DMARC, DANE en STARTTLS).

Ten opzichte van de StUF-standaarden sluiten deze API-standaarden beter aan bij door softwareontwikkelaars gebruikte industriestandaarden.

Eis met betrekking tot kwaliteitsnormen Informatiebeveiliging De Inschrijver dient te beschikken over een systeem voor informatiebeveiliging conform ISO 27001 of gelijkwaardig, waarbij NEN 7510 als gelijkwaardig wordt aangemerkt.

In deze aanbesteding zijn Geschiktheidseisen opgenomen met betrekking tot: Technische bekwaamheid en/of beroepsbekwaamheid van toepassing op voorliggende Opdracht Beroepsbevoegdheid: inschrijving beroeps- of handelsregister ISO 27001: Inschrijver dient te beschikken over een relevante certificering conform ISO 27001 of gelijkwaardig, waarbij NEN 7510 als gelijkwaardig wordt aangemerkt Door in deel IV van het UEA aan te vinken: ‘voldoet aan de voorgeschreven selectiecriteria’ verklaart de Inschrijver dat hij voldoet aan de gestelde Geschiktheidseisen met uitzondering van de kerncompetenties.

ICT-Partner is gecertificeerd en voldoet aan de eisen als gesteld in de normen: • NEN 7510; • ISO 27001.