PR-07

Bij opdrachten waarbij informatie van de aanbestedende dienst wordt verwerkt, opgeslagen of ontsloten, bevat de inkoopspecificatie eisen die aantoonbaar conform de Baseline Informatiebeveiliging Overheid (BIO) zijn. De gekozen BIO-maatregelen zijn herleidbaar tot de dossierclassificatie en als eis (niet als wens) opgenomen.

De BIO is voor overheidsorganisaties het verplichte normenkader voor informatiebeveiliging. Wordt BIO-conformiteit niet in de specificatie geëist, dan ontstaat na gunning een gat tussen wat de organisatie moet naleven en wat de leverancier levert. Door de eis in de specificatie te verankeren wordt naleving onderdeel van de overeenkomst.

Een aanbestedende dienst koopt een SaaS-applicatie in. De specificatie eist dat de leverancier de relevante BIO-maatregelen implementeert en dit aantoont met een actueel assurancerapport. Bij gunning is BIO-conformiteit daarmee een contractuele verplichting, niet een vrijblijvende toezegging.

De toets is goed als BIO-conformiteit als bindende eis in de specificatie staat, herleidbaar tot de classificatie, en de leverancier dit kan aantonen, zó dat de organisatie na gunning niet zelf het beveiligingsgat hoeft te dichten dat in de uitvraag was opengelaten.

[
  "Toepasselijke BIO-maatregelen benoemd, herleid tot de classificatie (zie PR-03)",
  "BIO-eisen als eis (knock-out of contractueel bindend) opgenomen, niet als wens",
  "Aantoonbaarheid gevraagd (assurancerapport, certificaat, verklaring) waar passend",
  "Aansluiting op ISO 27002:2022-verankering (zie PR-04)",
  "Restrisico's en afwijkingen expliciet gemotiveerd en geaccepteerd door de juiste rol",
  "Betrokken rol vastgelegd (CISO)"
]

{
  "ICT": "Kernsector: BIO-eisen aan hosting, toegang, logging, continuïteit; bij cloud koppeling aan IR-04 (jurisdictie/exit).",
  "ZORG": "BIO aangevuld met NEN 7510 als sectorspecifiek kader.",
  "DEFENSIE": "Rubricering kan boven de BIO uitgaan; eisen daarop afstemmen.",
  "SPECIAAL": "Bij vitale processen aanvullende sectorale beveiligingseisen naast de BIO."
}

{}

2