TenderNed Standaardenmonitor

Voor zover er binnen de ICT Prestatie sprake is van geautomatiseerde gegevensuitwisseling, zoals maar niet beperkt tot Business Intelligence-tooling (BI)), dan geschiedt dit via gangbare open standaarden zoals geformuleerd in het Forum Standaardisatie (in een versie n/n-1): • OpenAPI specification (3.0) • JSON (RFC8259, december 2017) • OAuth (2.0) • OData (4.0) • REST API Design Rules (1.0) • SOAP (1.2) • WSDL (2.0) • XML (1.0, fifth edition) Toelichting Zie https://www.forumstandaardisatie.nl/open-standaarden.

Verwerkersovereenkomst V. Gemeentelijke Inkoop bij IT (GIBIT) 2023 VI.

9.2 Reikwijdte Voor de gehele ICT Prestatie gelden de vereisten ten aanzien van documentatie zoals opgenomen in GIBIT artikel 11.

Conform GIBIT artikel 6.2 en 6.3 dient Leverancier preventieve testen uit te voeren op de verplichte standaarden.

• https://publicatie.centrumvoorstandaarden.nl/api/adr/ o Document van de overheid over API Design Rules.

Antwoord: Het gaat om de volgende standaarden: Digitoegankelijk (EN 301 549 met WCAG 2.1), DNSSEC, HTTPS en HSTS, IPv6, NEN-ISO/IEC 27001, NENISO/IEC 27002, ICO Wizard, NL GOV Assurance profile for OAuth 2.0, ODF, OpenAPI Specification, PDF (NEN-ISO), REST-API Design Rules, RPKI, security.txt, TLS.

Antwoord: Het gaat om de volgende standaarden: Digitoegankelijk (EN 301 549 met WCAG 2.1), DNSSEC, HTTPS en HSTS, IPv6, NEN-ISO/IEC 27001, NENISO/IEC 27002, ICO Wizard, NL GOV Assurance profile for OAuth 2.0, ODF, OpenAPI Specification, PDF (NEN-ISO), REST-API Design Rules, RPKI, security.txt, TLS.

Het begrip is overgenomen uit de ARBIT.

Dit zijn veelal procedurele afspraken die voor zich spreken, de inhoud is grotendeels overgenomen van artikel 6 en 7 ARBIT.

In artikel 5.6 is bewust afgeweken van de ARBIT: waar de ARBIT veronderstelt dat sprake is van eigendomsoverdracht, geeft GIBIT slechts randvoorwaarden voor het geval eigendomsoverdracht is overeengekomen.

Leverancier verplicht zich reeds nu uiterlijk binnen drie (3) maanden een exit-plan als bedoeld in artikel 26 GIBIT 2023 op te stellen.

Op deze Overeenkomst is de GIBIT 2023 van toepassing, zoals bijgesloten als bijlage.

Leverancier verklaart een exemplaar van de GIBIT 2023 te hebben ontvangen.

https://www.forumstandaardisatie.nl/open-standaarden/openapi-specification PDF (NEN-ISO) https://www.forumstandaardisatie.nl/open-standaarden/pdf-nen-iso REST-API Design Rules De standaard REST-API Design Rules geeft een verzameling basisregels voor structuur en naamgeving waarmee de overheid op een uniforme en eenduidige manier REST-API's aanbiedt ten behoeve van het ontsluiten van overheidsinformatie en/of functionaliteit.

https://www.forumstandaardisatie.nl/open-standaarden/openapi-specification PDF (NEN-ISO) https://www.forumstandaardisatie.nl/open-standaarden/pdf-nen-iso REST-API Design Rules De standaard REST-API Design Rules geeft een verzameling basisregels voor structuur en naamgeving waarmee de overheid op een uniforme en eenduidige manier REST-API's aanbiedt ten behoeve van het ontsluiten van overheidsinformatie en/of functionaliteit.

b) Het is mogelijk om verschillende veldformaten te definiëren zoals datum, nummer, tekstregel, tekstblok c) Het is mogelijk om verschillende invoermogelijkheden te definiëren zoals keuzelijst, pop-up lijst, multiselect, datumpicker, ja/nee bullet d) Dit voorbeeld moet ook toepasbaar zijn op het toevoegen van maatwerkvelden op andere objecten e) Het metadataveld is direct zichtbaar in het systeem en bruikbaar voor rapportages f) Op rol gebaseerde autorisatie voor al dan niet mogen raadplegen om het metadataveld g) Op rol gebaseerde autorisatie instelbaar voor het al dan niet mogen wijzigen van het metadaveld Model Verwerkersovereenkomst ARBIT-2022 Provincie Zeeland HERZIENE VERSIE 2.0 VASTGESTELD DOOR GS D.D. 18 MAART 2025 A. Ondergetekenden: I de Provincie Zeeland, gevestigd te Middelburg, te dezen rechtsgeldig vertegenwoordigd door: <naam/functie> hierna: de Provincie Zeeland, II <naam organisatie> gevestigd te <adres/woonplaats> te dezen rechtsgeldig vertegenwoordigd door <naam/functie>, geregistreerd in het handelsregister van de Kamer van Koophandel onder nummer: <nummer invoegen>, hierna: Verwerker, de Provincie Zeeland en Verwerker worden gezamenlijk aangeduid als Partijen; B. Overwegende dat: a) Partijen op <datum> de Overeenkomst hebben gesloten met betrekking tot een geïntegreerd Financieel en Inkoop Systeem en < naam organisatie> ter uitvoering van deze Overeenkomst Persoonsgegevens verwerkt ten behoeve van de Provincie Zeeland; b) In het kader van de uitvoering van deze Overeenkomst de Provincie Zeeland, krachtens artikel 4, onderdeel 7 en onderdeel 8, AVG is aan te merken als Verwerkingsverantwoordelijke voor de Verwerking van de Persoonsgegevens en < naam organisatie> als Verwerker; c) Partijen in overeenstemming met artikel 28, derde lid, AVG hun afspraken over de Verwerking van Persoonsgegevens wensen vast te leggen in deze Verwerkersovereenkomst. C. Partijen zijn het volgende overeengekomen: Artikel 1 - Definities In deze Verwerkersovereenkomst worden de hierna met een hoofdletter geschreven begrippen in de volgende betekenis gebruikt: a. AVG: de Algemene Verordening Gegevensbescherming (EU 2016/679) betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van de Richtlijn 95/46/EG; b. Betrokkene: degene op wie een Persoonsgegeven betrekking heeft; c. Inbreuk in verband met Persoonsgegevens: een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte Persoonsgegevens; Abdij 6 4331BK Middelburg Postbus 6001 4330 LA Middelburg +31 118631011 IBAN NL08 BNGH 0285010557 2 d. Medewerker: de door Verwerker ingeschakelde werknemers en andere personen, niet zijnde Sub-verwerkers, waarvan de werkzaamheden onder zijn verantwoordelijkheid vallen en die worden ingeschakeld door Verwerker ter uitvoering van de Overeenkomst; e. Overeenkomst: de overeenkomst die tussen de Provincie Zeeland en Verwerker geïntegreerd Financieel en Inkoop Systeem , <datum>, met kenmerk 616772 is gesloten en op grond waarvan Verwerker Persoonsgegevens ten behoeve van de uitvoering van deze overeenkomst voor de Provincie Zeeland verwerkt; f. Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon die Verwerker bij het uitvoeren van de onderliggende Overeenkomst Verwerkt of dient te Verwerken; g. DPIA: de gegevensbeschermingseffectbeoordeling (Data Protection Impact Assessment) die vóór de Verwerking ten aanzien van het effect van de beoogde verwerkingsactiviteiten op de bescherming van Persoonsgegevens wordt uitgevoerd, bedoeld in artikel 35 AVG; h. Sub-verwerker: een andere verwerker die Verwerker inschakelt om ten behoeve van de Provincie Zeeland specifieke verwerkingsactiviteiten te verrichten ter ondersteuning van de uitvoering van de Overeenkomst; i. Toezichthoudende autoriteit: een onafhankelijke overheidsinstantie verantwoordelijk voor het toezicht op de naleving van de wet in verband met de verwerking van Persoonsgegevens.

ARBIT-2022 30/37 Artikel 55.

ARBIT-2022 18/37 Artikel 24.

Het moet daarbij mogelijk zijn om alle ingevoerde begrippen en definities te exporteren volgens de Nederlandse standaard voor het beschrijven van begrippen (NL-SBB).

BIJ12 wil inventariseren welke mogelijkheden de markt biedt voor een gegevenswoordenboekplatform waarmee een interprovinciaal stelsel van gegevenswoordenboeken kan worden vastgelegd, beheerd en gepubliceerd op een website volgens de NL-SBB standaard voor het beschrijven begrippen en definities.

Het systeem voert validatie uit op basis van NL-SBB-richtlijnen en geeft suggesties bij fouten of typefouten.

F4 Inschrijver conformeert zich gedurende de looptijd van de overeenkomst, volledig aan alle voor de opdracht relevante standaarden die door het forum standaardisatie op de lijst ‘veelgebruikte open standaarden’ of ‘open standaarden voor pas toe of leg uit’ zijn geplaatst. Specifiek gaat het hierbij om de volgende standaarden; Digikoppeling, Geostandaarden, GWSW, IMKL, IPv6 en IPv4, OpenAPI specification, REST-API design rules, SAML, StUF en TLS.

F4 Inschrijver conformeert zich gedurende de looptijd van de overeenkomst, volledig aan alle voor de opdracht relevante standaarden die door het forum standaardisatie op de lijst ‘veelgebruikte open standaarden’ of ‘open standaarden voor pas toe of leg uit’ zijn geplaatst. Specifiek gaat het hierbij om de volgende standaarden; Digikoppeling, Geostandaarden, GWSW, IMKL, IPv6 en IPv4, OpenAPI specification, REST-API design rules, SAML, StUF en TLS.

T.a.v. de kosten van de audit wordt aangesloten bij art. 25.6 van de GIBIT 2023.

Artikel 26 van de GIBIT 2023 is onder andere een voorbeeld van een exit-strategie die aan de minimumvoorwaarden voldoet.

In de GIBIT 2023 zijn de aansprakelijkheid, de exitstrategie en de uitvoering van audits wel geregeld.

Welke daarvan relevant zijn hangt af van de oplossing, de gemeente voorziet dat ten minste de hierna genoemde standaarden moeten worden gecheckt: Standaarden van Forum Standaardisatie Beveiliging van e-mail met: DKIM (versleuteling van e-mail): https://www.forumstandaardisatie.nl/open-standaarden/dkim DMARC (afhandeling van foutsituaties met DKIM of SPF): https://www.forumstandaardisatie.nl/open-standaarden/dmarc SPF (veilige DNS-registratie van mail servers): https://www.forumstandaardisatie.nl/open-standaarden/spf STARTTLS en DANE (beveiligde verbinding tussen mail servers): https://www.forumstandaardisatie.nl/open-standaarden/starttls-en-dane HTTPS en HSTS (beveiliging van verkeer over internet): https://www.digitaleoverheid.nl/overzicht-van-alle-onderwerpen/wetgeving/wet-digitale-overheid/veelgestelde-vragen-verplichting-https-en-hsts-voor-overheidswebsites/; IPv6 en IPv4 (protocol voor internetcommunicatie): https://www.forumstandaardisatie.nl/open-standaarden/ipv6-en-ipv4 NL Gov Oauth profile (nadere specificering hoe OAuth toe te passen): https://www.forumstandaardisatie.nl/open-standaarden/nl-gov-assurance-profile-oauth-20 REST-API Design rules en beschrijving van API’s conform de OpenAPI Specification: https://www.forumstandaardisatie.nl/open-standaarden/openapi-specification en https://www.forumstandaardisatie.nl/open-standaarden/rest-api-design-rules security.txt (aanwijzingen hoe om te gaan met security bevindingen op web sites): https://www.forumstandaardisatie.nl/open-standaarden/securitytxt Architectuurprincipes M.b.t. de toekomstige architectuur in relatie tot het onderwerp en doelstelling van deze PSA zijn de volgende architectuurprincipes kaderstellend.

Welke daarvan relevant zijn hangt af van de oplossing, de gemeente voorziet dat ten minste de hierna genoemde standaarden moeten worden gecheckt: Standaarden van Forum Standaardisatie Beveiliging van e-mail met: DKIM (versleuteling van e-mail): https://www.forumstandaardisatie.nl/open-standaarden/dkim DMARC (afhandeling van foutsituaties met DKIM of SPF): https://www.forumstandaardisatie.nl/open-standaarden/dmarc SPF (veilige DNS-registratie van mail servers): https://www.forumstandaardisatie.nl/open-standaarden/spf STARTTLS en DANE (beveiligde verbinding tussen mail servers): https://www.forumstandaardisatie.nl/open-standaarden/starttls-en-dane HTTPS en HSTS (beveiliging van verkeer over internet): https://www.digitaleoverheid.nl/overzicht-van-alle-onderwerpen/wetgeving/wet-digitale-overheid/veelgestelde-vragen-verplichting-https-en-hsts-voor-overheidswebsites/; IPv6 en IPv4 (protocol voor internetcommunicatie): https://www.forumstandaardisatie.nl/open-standaarden/ipv6-en-ipv4 NL Gov Oauth profile (nadere specificering hoe OAuth toe te passen): https://www.forumstandaardisatie.nl/open-standaarden/nl-gov-assurance-profile-oauth-20 REST-API Design rules en beschrijving van API’s conform de OpenAPI Specification: https://www.forumstandaardisatie.nl/open-standaarden/openapi-specification en https://www.forumstandaardisatie.nl/open-standaarden/rest-api-design-rules security.txt (aanwijzingen hoe om te gaan met security bevindingen op web sites): https://www.forumstandaardisatie.nl/open-standaarden/securitytxt Architectuurprincipes M.b.t. de toekomstige architectuur in relatie tot het onderwerp en doelstelling van deze PSA zijn de volgende architectuurprincipes kaderstellend.

Welke daarvan relevant zijn hangt af van de oplossing, de gemeente voorziet dat ten minste de hierna genoemde standaarden moeten worden gecheckt: Standaarden van Forum Standaardisatie Beveiliging van e-mail met: DKIM (versleuteling van e-mail): https://www.forumstandaardisatie.nl/open-standaarden/dkim DMARC (afhandeling van foutsituaties met DKIM of SPF): https://www.forumstandaardisatie.nl/open-standaarden/dmarc SPF (veilige DNS-registratie van mail servers): https://www.forumstandaardisatie.nl/open-standaarden/spf STARTTLS en DANE (beveiligde verbinding tussen mail servers): https://www.forumstandaardisatie.nl/open-standaarden/starttls-en-dane HTTPS en HSTS (beveiliging van verkeer over internet): https://www.digitaleoverheid.nl/overzicht-van-alle-onderwerpen/wetgeving/wet-digitale-overheid/veelgestelde-vragen-verplichting-https-en-hsts-voor-overheidswebsites/; IPv6 en IPv4 (protocol voor internetcommunicatie): https://www.forumstandaardisatie.nl/open-standaarden/ipv6-en-ipv4 NL Gov Oauth profile (nadere specificering hoe OAuth toe te passen): https://www.forumstandaardisatie.nl/open-standaarden/nl-gov-assurance-profile-oauth-20 REST-API Design rules en beschrijving van API’s conform de OpenAPI Specification: https://www.forumstandaardisatie.nl/open-standaarden/openapi-specification en https://www.forumstandaardisatie.nl/open-standaarden/rest-api-design-rules security.txt (aanwijzingen hoe om te gaan met security bevindingen op web sites): https://www.forumstandaardisatie.nl/open-standaarden/securitytxt Architectuurprincipes M.b.t. de toekomstige architectuur in relatie tot het onderwerp en doelstelling van deze PSA zijn de volgende architectuurprincipes kaderstellend.

GIBIT2023 (Bijlage 4); 5.

Antwoord: Aanbestedende dienst is bereid om qua aansprakelijk, aard van de schade en hoogte aan te sluiten bij artikel 16 van de GIBIT 2023.

Artikel 2: Voorwaarden 2.1 Van deze Overeenkomst maken deel uit de GIBIT2023, hierna te noemen Algemene Voorwaarden, zie Bijlage 2 bij de (concept)Overeenkomst. De inhoud van deze Algemene Voorwaarden is Partijen bekend.

ARW 2016: Aanbestedingsreglement Werken 2016; Aw: Aanbestedingswet; BPKV: Beste prijs-kwaliteitverhouding; DNR 2011: De Nieuwe Regeling 2011; GIBIT 2023: De Gemeentelijk Inkoopvoorwaarden bij IT, zoals vastgesteld door de Vereniging Nederlandse Gemeenten (VNG); Lp: Laagste prijs; PvE: Programma van Eisen; SMART: Specifiek, Meetbaar, Acceptabel, Realistisch en Tijdgebonden; TCO: Total Cost of Ownership; UAV 2012: Uniforme Administratieve Voorwaarden voor de uitvoering van werken en van technische installatiewerken 2012; UAV-GC 2005: Uniforme Administratieve Voorwaarden voor Geïntegreerde Contractvormen 2005; UEA: Uniform Europees Aanbestedingsdocument.

ARW 2016: Aanbestedingsreglement Werken 2016; Aw: Aanbestedingswet; BPKV: Beste prijs-kwaliteitverhouding; DNR 2011: De Nieuwe Regeling 2011; GIBIT 2023: De Gemeentelijk Inkoopvoorwaarden bij IT, zoals vastgesteld door de Vereniging Nederlandse Gemeenten (VNG); Lp: Laagste prijs; PvE: Programma van Eisen; SMART: Specifiek, Meetbaar, Acceptabel, Realistisch en Tijdgebonden; TCO: Total Cost of Ownership; UAV 2012: Uniforme Administratieve Voorwaarden voor de uitvoering van werken en van technische installatiewerken 2012; UAV-GC 2005: Uniforme Administratieve Voorwaarden voor Geïntegreerde Contractvormen 2005; UEA: Uniform Europees Aanbestedingsdocument.

ARW 2016: Aanbestedingsreglement Werken 2016; Aw: Aanbestedingswet; BPKV: Beste prijs-kwaliteitverhouding; DNR 2011: De Nieuwe Regeling 2011; GIBIT 2023: De Gemeentelijk Inkoopvoorwaarden bij IT, zoals vastgesteld door de Vereniging Nederlandse Gemeenten (VNG); Lp: Laagste prijs; PvE: Programma van Eisen; SMART: Specifiek, Meetbaar, Acceptabel, Realistisch en Tijdgebonden; TCO: Total Cost of Ownership; UAV 2012: Uniforme Administratieve Voorwaarden voor de uitvoering van werken en van technische installatiewerken 2012; UAV-GC 2005: Uniforme Administratieve Voorwaarden voor Geïntegreerde Contractvormen 2005; UEA: Uniform Europees Aanbestedingsdocument.

TE14 De Oplossing moet automatisch data kunnen uitwisselen met business intelligence-tools zoals Power BI, gebruikmakend van gangbare open standaarden, zoals gedefinieerd in het Forum Standaardisatie: - OpenAPI Specificatie (3.0) - JSON (RFC8259, december 2017) - REST API Design Rules (1.0) - SOAP (1.2) - WSDL (2.0) TE15 Alle data moeten koppelbaar zijn met andere systemen, en er moeten koppeltechnieken beschikbaar zijn buiten de applicatie, zoals file-transfer (SFTP), Webservices en API.

Kan de aanbestedende dienst bevestigen dat deze JSON-LDuitvoer als toereikende basis wordt gezien, en dat eventuele conversie of aanvullende mapping naar DCAT-AP of INSPIRE buiten de scope van de leverancier valt, tenzij er expliciet aanvullende specificaties worden gedefinieerd in een latere fase?

Epic 0 0.11 In de aanbesteding wordt gesteld dat gegevensopslag en -presentatie moeten voldoen aan internationale standaarden zoals DCAT-AP of INSPIRE.

Epic 0 0.11 In de aanbesteding wordt gesteld dat gegevensopslag en -presentatie moeten voldoen aan internationale standaarden zoals DCAT-AP of INSPIRE.

1 API Strategie Algemeen (Nederlandse API Strategie I) (geostandaarden.nl) 2 Common Ground | VNG Op basis van de visie van de gemeente Den Haag en de daaruit voortvloeiende referentie architectuur en de vier uitgangspunten van Common Ground onstaat een nieuw gemeentelijk informatie landschap.

Het begrip is overgenomen uit de ARBIT.

Dit zijn veelal procedurele afspraken die voor zich spreken, de inhoud is grotendeels overgenomen van artikel 6 en 7 ARBIT.

In artikel 5.6 is bewust afgeweken van de ARBIT: waar de ARBIT veronderstelt dat sprake is van eigendomsoverdracht, geeft GIBIT slechts randvoorwaarden voor het geval eigendomsoverdracht is overeengekomen.

T.a.v. de kosten van de audit wordt aangesloten bij art. 25.6 van de GIBIT 2023.

Artikel 26 van de GIBIT 2023 is onder andere een voorbeeld van een exit-strategie die aan de minimumvoorwaarden voldoet.

In de GIBIT 2023 zijn de aansprakelijkheid, de exit-strategie en de uitvoering van audits wel geregeld.