Hardbewijs

Opdrachtgevers · 01

Aanbestedingen van gemeenten

Bij een gemeente is toegankelijkheid geen wens maar wet, en de BIO geen certificaat maar een maatregelenlijst waar je per punt op wordt nagelopen.

§ 1

De normen die hier genoemd worden

BIO

Baseline Informatiebeveiliging Overheid. Geen certificaat maar een maatregelenlijst; verwijs naar het nummer van de maatregel, niet naar de baseline als geheel.

WCAG 2.1 AA

Voor overheidswebsites en -apps wettelijk verplicht. Er hoort een toegankelijkheidsverklaring bij, en die is openbaar.

AVG art. 28

Verwerkersovereenkomst. Gemeenten hebben vrijwel altijd een eigen model dat je moet accepteren of waarop je moet afwijken met opgaaf van reden.

Archiefwet

Bewaartermijnen en overdraagbaarheid. Speelt bij elk systeem waar besluiten of dossiers in worden vastgelegd.

GEMMA / Common Ground

De referentiearchitectuur van gemeenten. Sluit je daar niet op aan, leg dan uit hoe je koppelvlakken wel werken.

Welke van deze normen in jouw aanbesteding daadwerkelijk gelden, staat in de leidraad. Deze opsomming is een verwachting per sector, geen opsomming van een specifiek bestek.

§ 2

Waar het hier misgaat

Een gemeente koopt anders in dan een ziekenhuis. Niet omdat de mensen anders zijn, maar omdat er een ander stelsel van regels boven hangt en omdat het geld publiek is. Dat merk je op drie plekken in het bestek.

Digitale toegankelijkheid is hier geen wens

Bij een commerciële opdrachtgever is toegankelijkheid een wens in het programma van eisen. Bij een gemeente is het wettelijk verplicht, en er hoort een openbare toegankelijkheidsverklaring bij die iedereen kan nalezen.

Dat verandert wat er in je inschrijving moet staan. Niet “onze software voldoet aan WCAG 2.1 AA” — dat is een bewering waar niemand iets aan heeft. Wel: welke versie van de richtlijn, welk auditrapport, van welke datum, door wie uitgevoerd, en wat er nog openstaat. Een gemeente die zelf een verklaring moet publiceren, wil precies weten wat zij straks over jouw product opschrijft.

Toegeven wat je nog niet haalt scoort hier vaak beter dan een vlakke claim. De inkoper weet dat volledige conformiteit zeldzaam is en herkent een afvinkzin meteen.

De BIO is een lijst, geen keurmerk

ISO 27001 helpt, maar de BIO is er niet mee afgedekt. Het is een maatregelenlijst, en een beoordelaar loopt hem per relevante maatregel na. Schrijf dus op maatregelniveau: welke logging, welke bewaartermijn, welke rolgebaseerde toegang, wie herbeoordeelt en hoe vaak.

Dit is meteen de plek waar het meeste verschil te maken is, want de meeste inschrijvers schrijven hier één alinea over “de hoogste prioriteit” en gaan door.

Er ligt een architectuur waar je je toe moet verhouden

GEMMA en Common Ground zijn geen vrijblijvende adviezen. Ze bepalen hoe gemeenten hun gegevenslandschap willen inrichten en hoe koppelvlakken eruit horen te zien. Sluit je product daar niet naadloos op aan — en dat geldt voor veel bestaande software — dan is verzwijgen de slechtste keuze. Beschrijf welke koppelvlakken je wel hebt, wat de migratieroute is, en hoe de gemeente er weer uit komt.

Dat laatste, de exitparagraaf, wordt structureel te licht opgeschreven. Een gemeente moet over vier jaar opnieuw aanbesteden en wil nu al weten in welk formaat zij haar data terugkrijgt en wat dat kost.

Wat wij hier concreet doen

We halen de gunningscriteria uit de leidraad, leggen ernaast welke van deze normen in dit bestek daadwerkelijk genoemd worden, en schrijven de kwaliteitsplannen zo dat elke eis een toetsbaar antwoord krijgt. Bij een gemeente betekent dat vrijwel altijd extra aandacht voor toegankelijkheid, de BIO en de exitregeling.

Stuur ons de publicatie en je hoort binnen twee werkdagen of je aan de geschiktheidseisen voldoet en waar in dit bestek de punten liggen.

Verder lezen

Aanbestedingen van zorginstellingen

Ziekenhuizen, GGZ en VVT beoordelen op NEN 7510, op logging volgens NEN 7513 en op de vraag of je koppelt met het EPD dat er al staat.