Nota van Inlichtingen 1

Transcriptie

1 1 1.5 Opdrachtgever De tekst: "De directeur Financiën en Informatievoorziening is verantwoordelijk voor financiën en financieringen, informatievoorziening, risicomanagement" Vraag: op welke manier vindt een risico mapping plaats als input op de security control selection van toepassing voor de Security Integrator? Is er een opgave van de grootste te mitigeren risico's voor 2013? 2.2. Vraagscope 9 De tekst: "Een actueel security beeld te geven over de prestaties... de bedreigingen vanuit de buitenwereld". Vraag: Welke concrete dreigings en risico inputs zijn hier beoogd? 2.2. Vraagscope 9 De tekst: " ,- (excl. BTW, inclusief beheersmaatregelen voor de risico s en indexering)" Vraag: Welke beheersmaatregelen voor risico's worden hier bedoeld? 2.2. Vraagscope 9 De tekst "Recht van audit (op elk door HbR gewenst moment)", door wie worden deze audits uitgevoerd en op welk moment, is hier een planning van beschikbaar? Planning IT sourcing HbR IT Sourcingstrategie externe versie: 2.6 Leveranciersstrategie Planning In de planning IT sourcing staat bij Adviesdiensten de Security Integrator de volgende tekst: "Inrichten dienstverlening bestaande dienstverlening en per cluster", hierbij wordt tevens met een kleur aangegeven dat er sprake is van 'beheer in de lijn'. Wat wordt met deze verwijzing beoogd? 9 De tekst: "Adviesdiensten HbR zelf, aangevuld met mantelpartijen.in de markt is gebruikelijk om project- en inhuurmantels af te sluiten waarmee HbR tegen gunstiger voorwaarden snel en effectief specialisten kan inschakelen" Vraag: is een opgave mogelijk van de aanwezige kennis in de organisatie? HbR gebruikt ISO als control framework. HbR is nog is bezig met inrichten van risicomanagement gebaseerd op COSO. Daarom is een operationeel risicolandschap nog niet beschikbaar. HbR heeft hierbij geen specifieke invulling. De verwachtingen van HbR zijn dat de Inschrijver het beste weet waar HbR mee geholpen is om de projectdoelstelling te realiseren. Het is aan de Inschrijver hier een voorstel voor te doen op basis van de behoefte van HbR beschreven in de verschillende documenten behorend bij deze aanbesteding. Het gaat bij BVP om het identificeren en minimaliseren van risico s waarvan de aanbieder vindt dat zij buiten de eigen invloedsfeer vallen: welke factoren buiten de invloedsfeer van Inschrijver zorgen ervoor dat hij de doelstellingen niet kan realiseren. Inschrijver denkt vervolgens na over de wijze waarop hij deze (externe) risico s gaat minimaliseren. De preventieve maatregelen zitten in de aanbodprijs. De Security Integrator is gerechtigd om indien nodig namens en in overleg met HbR security audits op de cluster leveranciers uit te voeren. Met beheer in lijn wordt bedoeld dat de Security Integrator per cluster een rol speelt bij de inrichting van security op de cluster dienstverlening conform de verantwoordelijkheden in de vraagscope. De Security Integrator vormt een onderdeel van het cluster Adviesdiensten puur gericht op het thema security. Andere onderdelen van het cluster Adviesdiensten worden later in de markt gezet. De expertise op het gebied van IT Security binnen HbR is belegd bij de IT Security officer. Zie bijlage vacature tekst Security Officer HbR IT Sourcing Visie: 9 Thema Security Security Integrator Security Integrator, Security Integrator, Security Integrator, De tekst: "De belangrijkste maatregelen in het kader van de hercontractering zijn: Actualiseren beleid en opstellen risico s (waaronder ook cloudcomputing en offshoring)". Tijdens de informatiesessie hebben wij begrepen dat het opstellen van beleid onderdeel is van de activiteiten van het HbR, kan het beleid nader worden aangeduid? 16 De gegevens (namen, functies en korte profielschets) van de te interviewen Sleutelfunctionarissen moeten worden opgenomen in envelop 2. Op de bijeenkomst van 21 maart meldde u juist dat niet te annomiseren gegevens in enevlop 1 moeten worden gevoegd. In welke envelop moeten deze gegevens en de aanvullende CV's? 20 Voor de onderbouwing van de projectbekwaamheid, het risico- en het kansendossier vraagt u verifieerbare en gedocumenteerde performance informatie? Wat verstaat u hieronder en hoe verwacht u dat we deze kunnen aanleveren zonder de vertrouwelijkheid van onze andere opdrachtgevers en referenten te schaden? HbR heeft een beperkt security beleid wat door HbR nog geactualiseerd moet worden met input van de Security Integrator. De profielschets, functies en Cv's dienen zoals in de bijgevoegd te worden in envelop 1 onder tabblad 5. Zie tevens het antwoord op vraag 60 van deze Nota van Inlichtingen. De term projectbekwaamheid refereert aan uw prestatie onderbouwing. De inschrijver toont aan en onderbouwt op een dominante manier dat hij in staat is de opdrachtdoelstellingen te realiseren. Deze informatie is geanonimiseerd en dient door HbR objectief geverifieerd te kunnen worden. De verificatie kan in de pre-award fase plaatsvinden. Doelstelling is niet om prestaties uit het verleden te onderzoeken, maar om onderbouwingen vanuit Inschrijver te krijgen waarom Inschrijver de doelstelling van déze opdracht kan realiseren. Inschrijver geeft aan welke relevante prestatie informatie hij meebrengt in dit project op basis waarvan hij weet dat hij zijn oplossing waar kan maken. 22 U vraagt om gedurende de periode van de overeenkoms een kwaliteitsplan met HbR bedoelt hiermee een kwaliteitsplan voorzien met af te meten KPI's waarmee de prestatie van kwaliteitsborgings- en testprocedures, ketentesten en eindacceptatie uit te werken. Wat verstaat u de dienstverlening van de Security Integrator gemeten wordt.. hieronder? 14 Hoe waarbordt u de vertrouwelijheid van de gevraagde financiele en economische draagkracht en andere vertrouwelijke gegevens die HbR vraagt om aan te leveren? U kunt verwachten dat HbR alle inkomende gegevens zeer vertrouwelijk behandeld. De financiële en economische draagkracht worden alleen gezien door de contracting officer

2 Security Integrator, bijlage A HbR IT Sourcing Visie, 9 HbR IT Strategie, 5.1 HbR IT Strategie, bijlage III, punt 6 22 Bijlage D U verwijst naar een "Planning IT Sourcing aanbestedingen" bijlage. Deze is niet ontvangen. Deze is reeds gepubliceerd op Tenderned: " Planning IT Sourcing.pdf" 14 Zijn de aanbevelingen gedaan door Ernst & Young beschikbaar? De belangrijkste aanbevelingen staan beschreven in de Visie en in het antwoord op vraag 28 van de Nota van Inlichtingen. Het document wordt niet beschikbaar gesteld. 11 Zijn de verkeerscentralesystemen en -netwerken t.b.v. afwikkeling scheepvaartverkeer onderdeel van de verantwoordelijkheid van de Security Officer en in scope van de aanbesteding en dus aandachtsgebieden voor de Security Integrator? Het cluster Scheepvaart verkeer vormt een onderdeel van de scope. Marifonie, Radar en operationele telefonie niet. 36 Is er al één bronsysteem voor Authenticatie en Autorisatie aanwezig? Ja, Op dit moment is UMRA voor Active Directory aanwezig. In de planning staat voor Aanbesteding en transitie Eindgebruikersbeheer start aangegeven op Q In de aanbesteding wordt gesproken over starten op 15 juli 2012! Is het huidige informatiebeveiligingsbeleid beschikbaar en - zo ja - wanneer kan deze beschikbaar worden gesteld? Heeft HbR een werkende en gedocumenteerde Informatiebeveiligingsorganisatie (Security Management Systeem) ingericht en - zo ja - wanneer kan deze beschikbaar worden gesteld? Zijn er al eens risicoanalyses over de ICT voorzieningen uitgevoerd en - zo ja - wanneer worden deze resultaten beschikbaar gesteld? Zijn er al eerder beveiligingseisen gesteld aan leveranciers en - zo ja - wanneer kunnen deze beschikbaar worden gesteld? De start is 23 juli de datum is aangepast i.v.m. de Alcatel termijn. HbR heeft een beperkt security beleid wat door HbR nog geactualiseerd moet worden met input van de Security Integrator. Zie het antwoord op vraag 1 en 6 van de Nota van Inlichtingen. Nee, er zijn gedetailleerde risicoanalyses beschikbaar. De afspraken met de huidige leverancier zijn in lijn met de ISO normering 27002, en zullen pas in de pre-award fase worden gedeeld indien dat nodig is. Is er een overzicht van alle betrokken ICT partijen, projecten en contracten beschikbaar en - zo ja - Voor de inrichting van de huidige security ligt de verantwoording primair bij onze huidige partner wanneer kan deze beschikbaar worden gesteld? (KPN). Voor de toekomstige situatie zie het IT Sourcing model waarvan de aanbestedingen gestart zijn/worden. In bijlage D Indeling en checklist wordt in de zin boven de kop Envelop 1 (prijsdeel) over zowel origineel als kopie gesproken. Het is niet duidelijk welke kopie hier wordt bedoeld. Bijlage D 1 In bijlage D Indeling en checklist is niet duidelijk waartoe de Tabel onderaan de pagina dient.dient deze bijlage te worden opgestuurd, zo ja in welke envelop. Bijlage F 1 In bijlage F Eigen verklaring. Wat wordt bedoeld met Opdrachttype? Security Integrator, 2.3 Security Integrator, Is het maximale jaarlikse budget per kalenderjaar of per 12 maanden? 9 HbR ontvangt graag 2 schriftelijke exemplaren (1 origineel en 1 kopie) en tevens 1 USB stick met alle documenten separaat aangeboden. Bijlage D dient in envelop 1 ondertekend te worden toegevoegd onder tabblad 1. U kunt hier de omschrijving van de opdracht invullen: 'Security Integrator' Per 12 maanden na ingangsdatum contract. Kan het budget over de eertse twee jaar ook anders verdeeld worden; bijvoorbeeld over de eerste 12 maanden en over de tweede 12 maanden? Ja, 30% van het bedrag per 12 maanden mag verschoven worden naar een andere periode van 12 maanden binnen de contract periode van 2 jaar. Kan het genoemde rapport van Ernst & Young gedeeld worden, in het bijzonder (indien beschikbaar) een analyse van de huidige situatie m.b.t. security bij HbR, de risico's en aanbevelingen? Zie het antwoord op vraag 13 van de Nota van Inlichtingen.

3 Welke aanbevelingen, gedaan door Ernst & Young, worden wanneer doorgevoerd door HbR? 28 De belangrijkste maatregelen in het kader van de hercontractering zijn: - Implementeren van de belangrijkste technische en procedurele maatregelen (bijvoorbeeld een voorziening ter voorkoming van ongeautoriseerde systemen op het netwerk). HbR: Voor de huidige situatie zijn hier maatregelen geïmplementeerd, tijdens de aanbesteding van de clusters moeten deze maatregelen worden geïmplementeerd. - Actualiseren beleid en opstellen risico s (waaronder ook cloudcomputing en offshoring) HbR: Zie antwoord vraag 7 en 19 van deze Nota van Inlichtingen. - Inrichten informatiebeveiligingsorganisatie HbR: Informatiebeveiligingsorganisatie bestaat uit de Security Officer (voor functieomschrijving zie antwoord vraag 6 van deze Nota van Inlichtingen. - Definiëren en implementeren bedrijfsbreed business continuityplan HbR: Er is een business continiutyplan aanwezig. Zie ook antwoord vraag 97 van deze Nota van Inlichtingen Wat zijn de verwachtingen van HbR m.b.t. de mogelijkheden van de security integrator op de bestaande contracten en leveranciers? HbR verwacht dat de Inschrijver het beste weet waar HbR mee geholpen is om de projectdoelstelling te realiseren. Het is aan de Inschrijver hier een voorstel voor te doen op basis van de behoefte van HbR beschreven in de verschillende documenten behorend bij deze aanbesteding. Voor de huidige contracten zie Zie het antwoord op vraag 21 van de Nota van Inlichtingen In hoeverre voorzien de huidige contracten met leveranciers in: het voldoen aan ISO en HbR heeft recht van audit op de huidige contracten. De Security Integrator kan daar namens HbR (zo ja, hoe en in welke mate), het recht van audit (indien van toepassing: met welke scope) gebruik van maken. Voor de gestelde eisen zie het antwoord op vraag 20 van deze Nota van en het voldoen aan aanvullende eisen op het vlak van security? Inlichtingen. De mate van invulling wordt aangetoond via een TPM verklaring welke niet wordt verstrekt. Betekent het begrip "onafhankelijk partner" dat de inschrijver, na gunning, geen enkele vorm van dienstverlening aan HbR kan leveren buiten de scope van de Security Integrator rol? Wat betekent dit bijvoorbeeld voor de volgende vormen van dienstverlening: het uitvoeren van onafhankelijke, eenmalige assessments op software systemen aan de hand van ISO 25010; het begeleiden van projecten met een belangrijke IT component (continu monitoring van software ontwikkeltrajecten en advisering daarover); het geven van advies op het vlak van enterprise architectuur, technisch ontwerpen, project-/programma-plannen en governance. De leidraad lijkt een rol van Security Integrator te beschrijven die zich richt op informatiebeveiligingsprocessen en toezicht daarop. Dient de Security Integrator zich inderdaad te richten op (en te beperken tot) toezicht op de ISO en gecertificeerde processen bij de leveranciers? Of dient ook op de een of andere manier gekeken te worden naar de producten en diensten die deze leveranciers aan het Havenbedrijf leveren? Wat is expliciet de verwachting van het Havenbedrijf? De doelstelling van de opdracht is onder andere controle over de beschikbaarheid van gegevens en systemen. Als de Security Integrator een objectief en ondubbelzinnig security beeld moet geven over prestaties van de verschillende leveranciers zal ook 'onder de motorkap' van de systemen gekeken moeten worden naar beveiligingslekken en veiligheidsrisico's. Om vanuit security optiek een betrouwbaar beeld over de software systemen te kunnen geven is het raadzaam ook de constructie van 'de binnenkant' van de systemen te onderzoeken (technologie, architectuur, broncode). Het maximaal jaarlijks budget van ,- excl. BTW is volstrekt ontoereikend om de systemen die alle clusterpartners leveren op genoemde punten aan een onderzoek te onderwerpen. Is HbR zich ervan bewust dat het mitigeren van dergelijke security risico's binnen de kaderstelling van deze aanbesteding niet adequaat mogelijk is? Gaat HbR de clusterpartners vragen op eigen kosten door een onafhankelijke partij security risk assessments op de software systemen binnen hun cluster te laten uitvoeren? Zo niet, hoe is HbR voornemens dergelijke security risico's af te dekken? De Security Integrator mag geen enkel contract aangaan voor de dienstverlening van de clusters in het sourcing landschap m.u.v. het cluster Adviesdiensten en andere opdrachten. HbR verwacht dat de Inschrijver het beste weet waar HbR mee geholpen is om de projectdoelstelling te realiseren. Het is aan de Inschrijver hier een voorstel voor te doen op basis van de behoefte van HbR beschreven in de verschillende documenten behorend bij deze aanbesteding. HbR verwacht dat de Inschrijver het beste weet waar HbR mee geholpen is om de projectdoelstelling te realiseren. Het is aan de Inschrijver hier een voorstel voor te doen op basis van de behoefte van HbR beschreven in de verschillende documenten behorend bij deze aanbesteding. Dit voorstel dient aan te sluiten bij marktstandaarden, dient marktconform te zijn en niet kostenverhogend te werken voor de leveranciers van de overige clusters. HbR zal cluster partijen niet verzoeken security riskassessments op eigen kosten uit te voeren op software binnen het eigen cluster. Dergelijke risico's worden afgedekt doordat de leveranciers van de clusters moeten voldoen aan de ISO norm

4 , paragraaf 2.3, paragraaf 2.1, paragraaf HbR stelt een maximaal jaarlijks budget van ,- beschikbaar. Daarbij wordt vermeldt excl. BTW, inclusief beheersmaatregelen voor de risico s en indexering. Wat wordt bedoelt met inclusief beheersmaatregelen in deze context? Betekent dit dat de mogelijk te implementeren beheersmaatregelen (intern, danwel extern bij de leveranciers) om het doel van HbR te behalen binnen het gestelde budget dienen te vallen? Of wordt hiermee gedoeld op de beheersmaatregelen die opdrachtnemer dient te implementeren om de geïdentificeerde risico s in het risicodossier te mitigeren? 9 Welke eindproducten verwacht HbR van de Security Integrator na vier jaar? En op basis van welke criteria wordt na twee jaar het contract verlengd? Welke deelproducten verwacht HbR na twee jaar? 9 Heeft HbR al security requirements/control framework opgesteld waaraan de verschillende providers zich dienen te houden (los van het voldoen aan de normen van ISO 27001/27002), of moeten deze nog worden opgesteld? Zie het antwoord op vraag 3 van de Nota van Inlichtingen. Verlenging is afhankelijk van de prestaties van de leverancier. HbR verwacht dat de Inschrijver het beste weet waar HbR mee geholpen is om de projectdoelstelling te realiseren. Het is aan de Inschrijver hier een voorstel voor te doen op basis van de behoefte van HbR beschreven in de verschillende documenten behorend bij deze aanbesteding. Zie het antwoord op vraag 20 van de Nota van Inlichtingen. 37 NVT NVT Kunnen we inzage krijgen in het huidige IB Beleid van HbR? Zie het antwoord op vraag 7 van de Nota van Inlichtingen. 38 NVT NVT Op welke gebieden van security ziet HbR zelf de grootste risico s en waarom? Zie het antwoord op vraag 1 van de Nota van Inlichtingen. 39 NVT NVT Kunnen we inzage krijgen in de huidige security architectuur (inclusief gebruik van tooling) van HbR? HbR heeft hier geen inzicht in. Dit ligt bij de huidige leverancier (KPN). 40 NVT NVT Wat is de scope van netwerken/domeinen binnen de opdracht? Hoe zijn de demarcaties met partners, (netwerk) providers, klanten en cloud services afgebakend, en hoe duidelijk zijn deze? Zie IT Sourcingstrategie voor de demarcatie van het IT landschap. 41 NVT NVT Op welke wijze wordt invulling gegeven aan Risk Management in het algemeen binnen HbR? Worden bijvoorbeeld jaarlijks risico analyses uitgevoerd? Zie het antwoord op vraag 1 en 19 van de Nota van Inlichtingen In welke mate is het juist om te veronderstellen dat het Havenbedrijf als doelstelling heeft dat de rol van de security integrator zowel bedoeld is voor: 1. de security beheersing in relatie tot de hercontractering van leveranciers binnen het IT sourcing programma, als voor: 2. ontzorging van het Havenbederijf op het gebied van informatiebeveiliging die niet is gekoppeld aan de hercontractering (zaken die met de huidige leverancier aan de orde zijn, de 'ongoing business' van een security lijn functie binnen een organisatie)? Ja dit is correct. 9 Is het correct om te veronderstellen dat de ambitie van het Havenbedrijf met betrekking tot de omvang van de opdracht zich niet beperkt tot uitsluitend security in relatie tot de clusterpartners (leveranciers), maar juist ook om security binnen het havenbedrijf een niveau hoger te tillen (denk 43 aan de regiefunctie, maar ook bijvoorbeeld het beveiligingsbewustzijn van de medewerkers van De scope van de opdracht beperkt zich niet alleen tot de cluster partners, maar richt zich ook op het Havenbedrijf)? Of wordt dat gezien als de verantwoordelijkheid van de Security Officer? externe bedreigingen. Zie voor de rol van Security Officer het antwoord op vraag 6 en 7 van de Nota van Inlichtingen. In de documenten die als bijlage bij de leidraad zijn gevoegd, worden de verschillende clusters in de hercontractering beschreven. Daarin zijn ook clusters beschreven die door het Havenbedrijf 44 Leidraad bijlage A 26 zelf worden opgepakt. In hoeverre vallen deze clusters, die door Havenbedrijf Rotterdam zelf worden opgepakt (b.v. Telefonie, marifonie en radar), ook binnen het aandachtsgebied van de Security Integrator? Zie het antwoord op vraag 14 van de Nota van Inlichtingen. Leidraad par Wij hebben een duidelijk idee hoe wij het Havenbedrijf zouden kunnen ondersteunen bij deze aanbesteding, maar lopen aan tegen het gestelde plafondbedrag per jaar. Het is bijvoorbeeld goed mogelijk dat in het eerste jaar/ de eerste jaren meer inspanningen moeten worden gedaan dan in de latere jaren, waardoor de kosten van de uitvoering van de opdracht niet evenredig over de verschillende jaren verdeeld zijn. Om die reden zijn wij benieuwd of het is toegestaan dat de 45 gestelde jaarlijkse plafondprijs per jaar gedifferentieerd kan worden, onder de voorwaarde dat het totaal over de contractperiode van 4 jaar binnen de randvoorwaarde van het Havenbedrijf (= maximaal 4 jaar x 80K = 320K) blijft. (Bijvoorbeeld: inschatting kosten jaar 1: 100K, jaar 2: 100K, jaar 3: 70K, jaar 4: 50K = totaal 320K.) Kunt u aangeven of dit is toegestaan? Zie het antwoord op vraag 26 van de Nota van Inlichtingen.

5 46 47 Leidraad par Leidraad bijlage A Leidraad par. 4.4 Leidraad par Leidraad Wat is de visie van het Havenbedrijf op de rol van de (een) security integrator ná de contractperiode van maximaal 4 jaar, welke van beide onderstaande varianten past het beste bij de visie: 1. een continuering van het extern beleggen van de security-integratorrol, of 2. heeft het Havenbedrijf als doelstelling om na de contractperiode zelfstandig in staat te zijn om invulling te geven de beheersing van security? Volgens welke aanbestedingsvorm worden de clusterpartners (leveranciers) geselecteerd: is dat ook Best Value Procurement of wordt voor de clusters een gedetailleerd bestek voorzien? 9 In welke mate is de Service Integrator verantwoordelijk voor de algehele borging van de samenhang tussen de verschillende clusters ('de architect')? Of heeft de Security Integrator hier een coördinerende rol in (naast de vanzelfsprekende adviesrol)? 9 Wat is het vertrekpunt voor de Security Integrator rol: in welke mate zijn de onderstaande elementen reeds 'in place': 1. Beveiligingsorganisatie: hoe ziet deze eruit? 2. Beleid, standaarden, standaard aanpakken, normen, etc.? 3. In welke mate is er een structureel proces voor het vertalen van security vereisten van de business naar IT en communicatievoorzieningen (en de leveranciers van de IT- en communicatievoorzieningen) 4. Monitoring van dienstverlening vanuit een security perspectief? 5. Proces voor periodieke herijking van het beveiligingsbeleid, uitvoering en naleving daarvan? 6. Overige niet genoemde, maar wel relevante zaken? 9 In welke mate (voor welke onderdelen, op organisatie-, proces- of systeemniveau, met welke actualiteit) zijn er al (actuele) risicoanalyses op het gebied van informatiebeveiliging beschikbaar binnen het Havenbedrijf? 9 Wat zijn de lessons learned met de huidige security afspraken die in de contracten met de bestaande leverancier zijn opgenomen (bijvoorbeeld prestatie-eisen, monitoring, rapportage, )? 9 Wat is de projectgovernance voor het aandachtsgebied Security Integrator: aan wie legt de Security Integrator verantwoording af (Security Officer, projectleider Security Integrator, programmamanager IT Sourcing)? Wordt het ook voor het havenbedrijf relevante portcommunitysysteem Portbase beschouwd als een aparte leverancier of wordt Portbase opgenomen in de cluster Scheepvaart verkeer in combinatie met informatie-uitwisseling? 14 "1. Inzicht in de omzetcijfers van de laatste 3 boekjaren. Dit dient tevens te voorzien zijn van een accountantsverklaring." Wij nemen aan dat het volstaat om de accountantsverklaring die in de drie jaarverslagen van inschrijver zijn opgenomen bij te sluiten. Kunt u dat bevestigen? 16 In de tabel onderaan pagina 16 staat onder de "Voorgeschreven maximale omvang documenten" naast 2. Risico- en kansendossier 3 x 1 A4 genoemd. We gaan ervan uit dat hier slechts 2 x A4 is toegestaan; 1 x A4 voor Risico's en 1 x A4 voor kansen. Kunt u dit bevestigen? 20 "Alleen geanonimiseerde kwaliteitsplannen die de toetsen in paragraaf tot en met paragraaf 0 hebben doorstaan " We nemen aan dat paragraaf 0 een ommissie betreft. Zo ja, wat zou hier gelezen moeten worden? Visie van HbR sluit het beste aan bij punt 1. Vooralsnog gaat HbR uit van Best Value Procurement. De Security Integrator richt zich specifiek op security aspecten. Informatie over service integratie is te vinden in het document "HBR IT sourcing visie par. 7.2". HbR verwacht dat de Inschrijver het beste weet waar HbR mee geholpen is om de projectdoelstelling te realiseren. Het is aan de Inschrijver hier een voorstel voor te doen op basis van de behoefte van HbR beschreven in de verschillende documenten behorend bij deze aanbesteding. 1. Zie het antwoord op vraag 6 van de Nota van Inlichtingen. 2. Zie het antwoord op vraag 7 van de Nota van Inlichtingen. 3. Niet aanwezig, zie het antwoord op vraag 1 en vraag 19 van de Nota van Inlichtingen. 4. Is nu mogelijk aanwezig bij de huidige leveranciers. HbR heeft hier geen inzicht in. 5. Zie het antwoord op vraag 7 van de Nota van Inlichtingen. 6. HbR verwacht dat de Inschrijver het beste weet waar HbR mee geholpen is om de projectdoelstelling te realiseren. Het is aan de Inschrijver hier een voorstel voor te doen op basis van de behoefte van HbR beschreven in de verschillende documenten behorend bij deze aanbesteding. Zie het antwoord op vraag 19 van de Nota van Inlichtingen. Borging en prestatie zijn nu lastig te meten. Zie tevens Visie IT Sourcing thema Security. Het inregelen van de dienstverlening bij bestaande leveranciers wordt onder verantwoording van de HbR projectleider van deze aanbesteding gedaan. De aansturing van het inrichten van de Security Integrator dienstverlening van nieuwe clusters ligt bij de HbR projectleider van het desbetreffende cluster. Verantwoording over de gevraagde prestatie wordt afgelegd aan de Security Officer. Het bedrijf Portbase vormt geen onderdeel van deze aanbesteding en is ook geen onderdeel van het cluster Scheepvaart verkeer. Wij verzoeken u om bijlage M1 en M2 in te vullen en te laten ondertekenen door een tekenbevoegde. In de pre-award fase kan alsnog om een jaarverslag en/of een accountantsverklaring gevraagd worden. Hiermee vervalt ook de eis om jaarverslagen en accountantsverklaring in te sturen (zie paragraaf 4.4 van de ). Dit is correct. Hier kan paragraaf gelezen worden

6 Leidraad 6.2 Leidraad Bijlage D 24 "Inschrijver dient adequaat verzekerd te zijn " Wat verstaat u onder adequaat verzekerd? Welk maximum verzekerd bedrag en hoogte van eigen risico beschouwt u als adequaat? 29 Klopt onze aanname dat alle documenten in envelop 1 niet anoniem ingediend moeten worden en alle documenten in enevelop 2 anoniem aangeleverd moeten worden? Leidraad Bijlage D 29 Bijlage J Waarde toevoegende opties/ kansendossier lijkt zowel in envelop 1 als in envelop 2 (onder Tab 4) gevraagd. Klopt het dat dit document twee keer ingediend moet worden? 60 Leidraad Bijlage D Leidraad Bijlage D Dienen de profielschetsen van de sleutelfunctionarissen ook geanonimiseerd ingediend te worden, of dient alleen de bedrijfsnaam van inschrijver anoniem te blijven? In Bijlage D staat bij TAB 5 van Envelop 2 dat de profielschets, inclusief CV's van de sleutelfunctionarissen bijgesloten moet worden. We nemen aan dat we naast de profielschetsen dus ook de twee CV's van de sleutelfunctionarissen achter TAB 5 moeten bijsluiten.kunt u dit bevestigen? Met het begrip onafhankelijk partner wordt bedoeld, dat de Security Integrator op geen enkele wijze betrokken is bij de dienstverlening van de andere clusters in het kader van de HbR IT- Sourcing. De inschrijver aan wie de overeenkomst gegund wordt sluit zich hiermee automatisch uit voor deelname op alle mogelijke constructies aan andere aanbestedingstrajecten in het kader van de IT Sourcing van het HbR. Wil dit zeggen dat de winnende leverancier voor tenminste 2 jaar geen andere business kan doen met het Havenbedrijf? Zijn bijvoorbeeld penetratietesten die moeten worden uitgevoerd als gevolg van security eisen meerwerk, en worden deze automatisch gegund aan de winnende partij van deze aanbesteding? U dient in de pre-award fase uw verzekeringspolis kenbaar te maken met daarop uw verzekerd bedrag. Het verzekerde bedrag moet in verhouding zijn tot de opdrachtwaarde. Dit klopt. Ja, in envelop 1 moet u de bijlage compleet ingevuld indienen. In envelop 2 dient u alleen de kansen te beschrijven en het prijsgedeelte open te laten. De profielschetsen worden ter kennisgeving bekeken als voorbereiding op de interviews. De Cv's hoeven daarom niet te worden geanonimiseerd. Zie het antwoord op vraag 8 van de Nota van Inlichtingen. Zie antwoord vraag 8 en 60 van de Nota van Inlichtingen. Zie het antwoord op vraag 31 van de Nota van Inlichtingen. Gezien de aard van BVP is het aan de Inschrijver hier een voorstel voor te doen op basis van de behoefte van HbR beschreven in de verschillende documenten behorend bij deze aanbesteding Bij punt 2, staat letterlijk De inschrijver aan wie de overeenkomst gegund wordt sluit zich hiermee automatisch uit voor deelname op alle mogelijke constructies aan andere aanbestedingstrajecten in het kader van de IT Sourcing van het HbR." Wil dit zeggen dat de winnende leverancier voor tenminste 2 jaar geen andere business kan doen met het Havenbedrijf? Mogen wij ervan uitgaan dat het Havenbedrijf bij aanvang van onze opdracht al beschikt over: 1. ISMS (Information Security Management System) 2. Informatiebeveiligingshandboek, waarin de diverse processen i.v.m. de security beschreven staan, inclusief werkinstructies en RACI matrices 3. Informatiebeveiligingsplan, waarin de maatregelen, de vindplaats van deze maatregelen, de eigenaar(s) van de betreffende maatregel en per maatregel een TBV matrix is opgenomen. Zie het antwoord op vraag 31 van de Nota van Inlichtingen. 66 Zie het antwoord op vraag 1 en 7 van de Nota van Inlichtingen U stelt dat eventuele onderzoekskosten verwerkt moeten worden in de financiële onderbouwing van de prijsaanbieding. Revereert u hier naar het Inschrijfbiljet (envelop 1) of een aparte prijsaanbieding ten behoeve van de toegevoegde opties? U kunt hier verstaan: Bijlage A, documentnummer U stelt dat in het Kansendossier de Inschrijver de kansen voor de Opdracht dient te identificeren. Dit zijn waarde toegevoegde opties bovenop de eigen aanbodscope. Kunt u bevestigen dat de eventeule onderzoekskosten van een Kans niet van invloed is op de inschrijfprijs, welke tenslotte is gebaseerd op de aanbodscope? Kunt u bevestigen dat de maximale monetaire waardering van een beoordelingscriterium wordt bepaald door de plafondprijs vermenigvuldigd met het wegingspercentage? Zo niet, kunt u bevestigen dat de weging van de monetaire waardering van de score overeen komt met de gestelde wegingspercetnages, ten opzichte van de andere beoordellings criteria? Als de kans onderzoek betreft waarmee toegevoegde waarde wordt geleverd voor het behalen van de projectdoelstelling en de kans niet noodzakelijk nodig is om de doelstelling te behalen, geldt wat voor alle kansen geldt: het bedrag dat ermee gemoeid is komt bovenop de aanbodprijs. De weging (dat wil zeggen de fictieve aftrek of bijtellingen) wordt bepaald door het percentage van de plafondprijs van HbR. Omdat de weging bepaald wordt door het plafondbedrag, liggen deze getallen ook vast. De definitieve ranking wordt bepaald door de fictieve aftrek of bijtellingen op de inschrijfprijs van de inschrijvende partij. Een model met de berekening t.o.v. het plafondbedrag wordt bijgevoegd

7 /23 U stelt bij de beoordeling, paragraaf 5.0, dat de inschrijfsom geen onderdeel is van de beoordeling (wegingsfactor 0%). In paragraaf stelt u dat de inschrijfsom onderdeel uitmaakt van de fictieve inschrijfsom (inschrijfsom + monetaire waarrde kwaliteit), welke uiteindelijk bepalend is voor de gunning. Kunt u hier duidelijkheid in verschaffen? U noemt hier 10 documenten welke onderdeel uitmaken van de nader op te stellen overeenkomst.van deze documenten zijn er voor Inschrijver enkele onduidelijk of hebben wij geen inzicht op de inhoud hiervan. Kunt u een toelichting geven op en inzage in: het afsprakenregister, begrippen en definities, beheer documenten en de project overeenkomst en overige documenten welke onderdeel uitmaken van de overeenkomst maar welke niet reeds gepubliceerd zijn bij deze aanbesteding? U verwijst hier naar Bijlage I. Kunt u bevestigen dat dit Bijlage J dient te zijn? Dit is correct. 72 Artikel 21 Aansprakelijkheid en Verzekering 7 Overeenkomsten dienen op een evenwichtige en verantwoorde basis tot stand te komen met oog voor de gerechtvaardigde belangen van beide partijen. Daarbij hoort ook een reële verdeling van de risico s. Het belang van Opdrachtgever ligt erin afdoende te zijn gedekt tegen bijzondere risico s voortvloeiende uit de overeenkomst (voor zover deze niet reeds onder een verzekering van Opdrachtgever zijn gedekt). Het belang van inschrijver is erin gelegen dat de hoogte van de aansprakelijkheid in een redelijke verhouding staat tot de waarde van de overeenkomst en verzekerbaar is. Het aanvaarden van aansprakelijkheid die niet is beperkt is voor inschrijver daarom zowel uit bedrijfseconomisch- als verzekerings-technisch opzicht onwenselijk. Graag verneemt inschrijver of Opdrachtgever het eens is met deze uitgangspunten of ontvangt zij een nadere motivering van Opdrachtgever indien deze het daarmee niet eens is. Kan Opdrachtgever instemmen met het opnemen van de volgende tekst als artikel van de Overeenkomst dan wel een andere nader overeen te komen bepaling op grond waarvan de onbeperkte aansprakelijkheid van inschrijver in redelijke mate wordt beperkt? Opdrachtnemer is jegens Opdrachtgever en derden aansprakelijk voor de directe schade uit hoofde van de overeenkomst. Iedere aansprakelijkheid voor indirect geleden schade en/of gevolgschade is uitgesloten. De aansprakelijkheid is verder beperkt tot een maximum van Euro ,- per gebeurtenis of samenhangende reeks van gebeurtenissen met een maximum van Euro ,- per jaar. " Gaat u hiermee akkoord? HbR doet een 100% verdeling op de kwaliteitscriteria. De scores op de kwaliteitscriteria worden gemonetariseerd, waarna er een fictieve inschrijfprijs ontstaat De fictieve inschrijfsom is de inschrijfsom van de Inschrijver plus/min de monetaire waarde op de kwaliteitscriteria (Aanbodscope en Projectbekwaamheid, Risico- en Kansendossier, Interviews Sleutelfunctionarissen) en de planning. Zie ook het antwoord op vraag 68 van de Nota van Inlichtingen. Een model met de berekening t.o.v. het plafondbedrag wordt bijgevoegd. De Documenten worden gezamenlijk uitgewerkt in de pre-award fase, deze zijn daarom nu nog niet beschikbaar. Hieronder volgt een korte toelichting op de verschillende documenten: -Het afsprakenregister is feitelijk een papieren en/of elektronisch dossier waarin alle (toekomstige) afspraken tussen opdrachtnemer en HbR zijn opgenomen die een onderdeel worden van de overeenkomst. In Het afsprakenregister worden in ieder geval de volgende afspraken opgenomen: gewijzigde bijlagen van deze overeenkomst; projectaanvragen; projectplannen en opdrachten voor incidentele werkzaamheden - Begrippen en definities, Beheer documentatie, projectovereenkomst en overige documenten Gezien de aard van BVP is het aan de Inschrijver hier een voorstel voor te doen op basis van de behoefte van HbR beschreven in de verschillende documenten behorend bij deze aanbesteding. De algemene voorwaarden zijn een vertrekpunt welke in de pre-award fase gezamenlijk worden uitgewerkt. In de pre-award fase wordt hierop teruggekomen. Daarom doet HbR hier inhoudelijk nu nog geen uitspraak over Artikel 39 Informatiebeveiliging 12 Kunt u infomratiebeveiligingsplan Information Security Policy & Standards beschikbaar stellen aan Inschrijver? 5 Waar bevindt de SI zich volgens HbR in het plaatje? Organisatiestruktuur: HbR heeft een omzet van 500 miljoen; hoe verhoudt zich dit tot het voor deze aanbesteding benoemde plafondbedrag van 80K per jaar? 2.2: Wat wordt bedoeld met bijlage A5? Zie het antwoord op vraag 7 van de Nota van Inlichtingen. Zie het antwoord op vraag 6 van de Nota van Inlichtingen. HbR acht deze vraag niet relevant. U kunt hier verstaan: Bijlage A, documentnummer 5.

8 : Wat verwacht HbR te krijgen voor jaarlijks plafondbedrag van 80K? 3.1: Handouts van presentaties worden achteraf beschikbaar gesteld.per wanneer? HbR verwacht dat de Inschrijver het beste weet en in kaart kan brengen waar HbR mee geholpen is om de projectdoelstelling te realiseren. Het is aan de Inschrijver hier een voorstel voor te doen op basis van de behoefte van HbR beschreven in de verschillende documenten behorend bij deze aanbesteding. Inschrijver geeft zijn maximale waarde (prestatie), gegeven het plafondbedrag. Deze worden meegestuurd met deze Nota van Inlichtingen. 79 Visie IT Sourcing 14 4e alinea: 'op elk door HbR gewenst moment'; dit in overleg met SI? Zie het antwoord op vraag 4 van de Nota van Inlichtingen. 80 HbR IT 3 Punt 4 vaststellingen: Zullen er nog meer security (gerelateerde) aanbestedingen volgen? Zo ja; Sourcingstrategie welke? Op welke termijn? Nee, voor zover HbR weet volgen er geen IT security aanbestedingen. 81 HbR IT Algemeen Goed geschreven stuk, echter in gehele stuk komt geen IT beveiliging of IT security voor. In Sourcingstrategie hoeverre wordt hier door HbR daadwerkelijk belang aan gehecht? Dank voor het compliment. Ja, wij hechten hier belang aan, zie ook de Visie op IT Sourcing. HbR IT Strategie 2 In plaatje wordt weergegeven dat er op security/informatiebeveiliging gebied in 2012 al e.e.a. Op het gebied van security/informatiebeveiliging zijn activiteiten uitgevoerd op het gebied van 82 Heeft plaatsgevonden; wat is reeds opgepakt? awareness en beleid. Zie tevens het antwoord op vraag 28 van de Nota van Inlichtingen. Algemene 83 Art. 16 Voorwaarden Alleen geldig met een lopende support & maintenance overeenkomst. 84 Algemeen Graag ontvangen wij gedetailleerde netwerktekeningen HbR heeft hier geen inzicht in. Graag ontvangen wij het exacte aantal servers en hoeveel logging deze genereren (in 85 Algemeen events/second) HbR heeft hier geen inzicht in. 86 Algemeen Graag ontvangen wij het exacte aantal gebruikers binnen AD Naar inschatting heeft HbR 2100 UMRA gebruikers en 3500 AD accounts en 1200 Fte's. 87 Algemeen Graag ontvangen wij het exacte aantal vlan s HbR heeft hier geen inzicht in. 88 Algemeen Welke active worden gebruikt? Dit incl. type en software versienummers Deze vraag is onduidelijk voor het HbR. 89 Algemeen paragraaf 1.1 paragraaf 2.2 paragraaf 9 IT sourcing visie paragraaf 2.2 paragraaf 2.2 paragraaf 2.1 paragraaf 2.1 Worden er nog aanvullende security oplossingen gebruikt (firewalls, IDP, Antivirus/contentinspectie, vulnerability scanner) incl. type en versienummers In aanbesteding wordt gesproken over een termijn van 2 jaar met mogelijkheid tot 2 keer verlenging met één jaar. Wat zijn de criteria die HBR wil hanteren bij besluitvorming rondom de verlenging? Naast voldoen aan ISO 27001/2 en verplichting tot right-to-audit zijn er andere standaarden/policies/baselines die HBR zal opleggen aan haar leveranciers? heeft HBR security policy, baselines en framework waaraan huidige en toekomstige leveranciers zich dienen te conformeren? - Indien ja: x Kan deze gedeeld worden? x Voldoen huidige leveranciers hieraan? - Indien nee: x valt het opstellen van de policy en framework onder de rol van security integrator? In de leidraad wordt gesproken over toekomstige en huidige leveranciers. Hoeveel leveranciers zijn op dit moment betrokken bij de dienstverlening voor de benoemde clusters? Ten behoeve van inrichting van eventueel netwerkverkeer monitoring ontvangen wij graag een inschatting van het aantal IP-adressen per cluster Heeft HBR als doel om security monitoring uiteindelijk in house te gaan uitvoeren of is verwachting dat dit ook op lange termijn uitbesteed blijft? Overweegt HBR om naar de toekomst toe de rol van security integrator te verbreden naar een service integrator rol (waarin security een belangrijke rol speelt)? Ja, onze huidige leverancier levert deze dienstverlening op dit moment op basis van Cisco firewalls, McAfee antivirus software en Symantec webscanning.. Zie het antwoord op vraag 35 van de Nota van Inlichtingen. Dit is afhankelijk van de aanvullende eisen van de Security Integrator in overleg met HbR. Zie het antwoord op vraag 7 van de Nota van Inlichtingen. Zie het antwoord op vraag 21 van de Nota van Inlichtingen. HbR heeft hier geen inzicht in. Zie het antwoord op vraag 46 van de Nota van Inlichtingen. Zie het antwoord op vraag 31 van de Nota van Inlichtingen.

9 paragraaf 2.1 artikel 7.3 algemene artikel 8.4 algemene artikel 11.2 algemene \ artikel 11.5 algemene In hoeverre verwacht HBR dat de security integrator zich ook richt op het continuïteitsaspect? Dit artikel bepaalt dat de Opdrachtnemer bij een termijnoverschrijding direct in verzuim is. Deze bepaling achten wij bezwaarlijk gezien het feit dat de termijnoverschrijding zou kunnen ontstaan door omstandigheden gelegen buiten de invloedsfeer van Opdrachtnemer, waaronder bijvoorbeeld de omstandigheid van het niet tijdig aanleveren door Opdrachtgever van gegevens of informatie input als door Opdrachtnemer opgevraagd en noodzakelijk ten behoeve van het op juiste wijze en tijdig verrichten van de overeengekomen Diensten. Wij achten het redelijk indien Opdrachtnemer door Opdrachtgever in het voorkomende geval in de gelegenheid wordt gesteld om alsnog binnen een redelijke termijn eventuele tekortkomingen te herstellen dan wel alsnog volledig na te komen. Vraag: Bent u met inachtneming van het vorenstaande bereid om aan de tekst van artikel 7.3 toe te voegen dat verzuim pas zal intreden na een voorafgaande ingebrekestelling? Ja, zolang het IT security gerelateerd is. Het auditrecht op grond van artikel 8.4 botst met de op onze organisatie van toepassing zijn weten beroepsregels, (denk aan de daaruit voortvloeiende geheimhoudingsplicht welke wij t.a.v. onze administratie / dossiers in acht dienen te nemen). Bovendien heeft Opdrachtgever middels artikel 15.9 van de algemene het recht om de door ons toegezonden facturen te laten controleren door een registeraccountant. Vraag: Kunt u gelet op het voorgaande akkoord gaan met het buiten toepassing verklaren van artikel 8.4 van de algemene? Dit artikel bepaalt dat de Opdrachtnemer bij een termijnoverschrijding direct in verzuim is. Deze bepaling achten wij bezwaarlijk gezien het feit dat de termijnoverschrijding zou kunnen ontstaan door omstandigheden gelegen buiten de invloedsfeer van Opdrachtnemer, waaronder bijvoorbeeld de omstandigheid van het niet tijdig aanleveren door Opdrachtgever van gegevens of informatie input als door Opdrachtnemer opgevraagd en noodzakelijk ten behoeve van het op juiste wijze en tijdig verrichten van de overeengekomen Diensten. Wij achten het redelijk indien Opdrachtnemer door Opdrachtgever in het voorkomende geval in de gelegenheid wordt gesteld om alsnog binnen een redelijke termijn eventuele tekortkomingen te herstellen dan wel alsnog volledig na te komen.vraag: Bent u met inachtneming van het vorenstaande bereid om aan de tekst van artikel 11.2 toe te voegen dat verzuim pas zal intreden na een voorafgaande ingebrekestelling? Artikelen 11.5 van de Algemene Inkoopvoorwaarden biedt Opdrachtnemer onvoldoende gelegenheid om na afloop van de uitvoering van de dienstverlening een eigen (intern) dossier aan te houden. Echter op grond van de wet en de beroepsregels zijn wij verplicht in het kader van de opdracht gedurende de wettelijke bewaartermijn (van 7 jaar welke termijn start na afloop van de opdracht) een dossier aan te houden met daarin kopieën van relevante documenten. Vraag: Kunt u gelet op het vorenstaande akkoord gaan met het in de overeenkomst opnemen van onderstaande toevoeging aan de tekst van artikel 11.5? Het voorgaande laat onverlet dat Opdrachtnemer terzake van de Opdracht een dossier aanhoudt en blijft houden met daarin kopieën van relevante stukken. Opdrachtnemer zal zijn dossier bewaren gedurende een periode die voor een goede beroepsuitoefening aanvaardbaar is en die in overeenstemming is met de wettelijke bepalingen en beroepsregels inzake bewaartermijnen. Opdrachtnemer neemt passende maatregelen om de vertrouwelijkheid en veilige bewaring van zijn dossier te waarborgen. De dossiers van Opdrachtnemer zijn en blijven zijn eigendom. Opdrachtgever heeft derhalve geen recht tot inzage in de dossiers.

10 artikel 15.5 algemene artikelen 17.4 en 17.5 algemene artikelen 18.1 en 18.2 algemene artikel 21.2 algemene artikel 21.3 algemene Verrekening achten wij onwenselijk, aangezien dit op totaal andere diensten kan zien en hierdoor onafhankelijkheid niet is gewaarborgd van de verschillende entiteiten binnen onze organisatie. Kunt u aangeven of u bereid bent dit artikel te laten vervallen? Deze artikelen bepalen een ruime gebruiksmogelijkheid van de door Opdrachtnemer te leveren Diensten hetgeen door ons als een bezwaarlijke bepaling wordt ervaren, (mede) gezien het feit dat het voor ons de mogelijkheid uitsluit om bezwaar te maken tegen een bewerking van ons eindproduct. Vraag:Bent u bereid om in de Overeenkomst de tekst van de artikel 17.4 en 17.5 zodanig aan te passen dat Opdrachtgever een eeuwigdurend gebruiksrecht verkrijgt ten aanzien van de door Opdrachtnemer te leveren Diensten, waarbij als voorwaarde geldt dat het hier uitsluitend intern gebruik ten behoeve van de eigen organisatie betreft. En waarbij tevens geldt dat tenzij sprake is van enige wetsbepaling of rechterlijke uitspraak die Opdrachtgever verplicht tot openbaarmaking of tenzij daartoe door Opdrachtnemer voorafgaande schriftelijke toestemming is verleend, Opdrachtgever de inhoud van rapporten, adviezen of andere schriftelijke uitingen deeluitmakend van de te leveren Diensten niet aan derden zal openbaren? Bent u bereid de tekst van deze artikelen wederkerig te formuleren? In onze beroepsgroep is het gebruikelijk de aansprakelijkheid te beperken, waarbij de maximum aansprakelijkheid in redelijke verhouding staat tot het met de opdracht gemoeide honorarium. Kunt u akkoord gaan met het opnemen van onderstaande, marktconforme, bepaling in de te sluiten overeenkomst? Opdrachtnemer zal zijn werkzaamheden naar beste kunnen verrichten en daarbij de zorgvuldigheid in acht nemen die van hem mag worden verwacht. Indien een fout wordt gemaakt doordat opdrachtgever aan opdrachtnemer onjuiste of onvolledige informatie heeft verstrekt, is opdrachtnemer voor de daardoor ontstane schade niet aansprakelijk. De totale aansprakelijkheid van opdrachtnemer jegens opdrachtgever voor eventuele fouten die bij zorgvuldig handelen door opdrachtnemer zouden zijn vermeden, is beperkt tot maximaal driemaal het bedrag van het honorarium dat opdrachtgever heeft betaald en/of nog verschuldigd is voor de onder de opdracht verrichte specifieke werkzaamheden waaruit de fout voortvloeit. Indien de opdracht een langere doorlooptijd heeft dan twaalf maanden, dan is de totale aansprakelijkheid in het kader van de opdracht beperkt tot maximaal driemaal het bedrag van het honorarium dat opdrachtgever aan opdrachtnemer heeft betaald en/of nog verschuldigd is over de eerste twaalf maanden voor de onder de opdracht verrichte specifieke werkzaamheden waaruit de fout voortvloeit. De beperking van aansprakelijkheid van opdrachtnemer geldt niet indien er aan zijn zijde sprake is van opzet of bewuste roekeloosheid en/of indien enige dwingende (inter)nationale wet of (beroeps) regelgeving een dergelijke beperking niet toestaat. Artikel 21.3 regelt een onbeperkte vrijwaring ten aanzien van aanspraken van derden. Kunt u ermee instemmen om voor deze vrijwaringen een overeengekomen contractuele aansprakelijkheidsbeperking (zoals hierboven door ons verzocht) ook ziet op de aansprakelijkheid die voortvloeit uit deze vrijwaringen? Een vrijwaring betekent feitelijk dat de aansprakelijkheid van Inschrijver verder strekt dan de aansprakelijkheid die zij jegens opdrachtgever bereid is te aanvaarden en voor die aanspraken onbeperkt wordt. Beleid is dat Inschrijver alleen aansprakelijkheid aanvaardt jegens haar opdrachtgever, omdat zij daar immers de werkzaamheden voor verricht. Het is aan opdrachtgever de risico s in te schatten en de eigen aansprakelijkheid jegens haar wederpartijen of derden te beperken. Kunt u dit artikel laten vervallen en met bovenstaande instemmen? Zie antwoord vraag 72 van deze Nota van Inlichtingen

11 artikel 21.4 algemene artikel 22 algemene artikel 26.1 algemene 113 Planning IT sourcing Planning IT sourcing Planning IT sourcing Planning IT sourcing 1 Op grond van contractuele afspraken met onze verzekeraar mogen wij derden (waaronder cliënten) geen inzage geven in de verzekeringspolis en polisvoorwaarden. Wel kunnen wij instemmen met het verstrekken van een bewijs (certificaat) van de verzekering. Vraag: Kunt u akkoord gaan met het laten vervallen van de eis tot overleggen van een kopie van de verzekeringspolis en daarvoor in de plaats een bewijs van verzekering van onze verzekeringsagent accepteren? In artikel 22 is een boetebepaling opgenomen indien sprake is van een temrijnoverschrijding. Deze bepaling achten wij bezwaarlijk gezien het feit dat de termijnoverschrijding zou kunnen ontstaan door omstandigheden gelegen buiten de invloedsfeer van Opdrachtnemer, waaronder bijvoorbeeld de omstandigheid van het niet tijdig aanleveren door Opdrachtgever van input als door Opdrachtnemer opgevraagd en noodzakelijk ten behoeve van het op juiste wijze en tijdig verrichten van de overeengekomen Diensten. Gelet op het voorgaande hierbij het verzoek of u er gelet op het vorenstaande mee kunt instemmen om de tekst van artikel 22 aan te passen op een zodanige wijze dat een dergelijke direct opeisbare boete uitsluitend aan Opdrachtnemer kan worden opgelegd indien de termijnoverschrijding volledig aan Opdrachtnemer is te wijten? En bent u in dat kader eveneens bereid om aan de tekst van artikel 22 toe te voegen dat Opdrachtgever alle gegevens en bescheiden die Opdrachtnemer nodig heeft voor het correct en binnen de overeengekomen termijn verrichten van de Diensten, tijdig en in de door Opdrachtnemer gewenste vorm en wijze aan Opdrachtnemer ter beschikking te stellen? In verband met de onafhankelijkheidsregels waaraan wij als organisatie gebonden zijn, kunnen wij niet zo maar een contractuele relatie aan gaan met bepaalde partijen, en in dat kader ook niet met partijen die ons (nog) niet bekend zijn en ons (op grond van artikel 26.1) eenzijdig opgedrongen worden. Bij iedere potentiële cliënt/contractspartij zijn wij verplicht een interne cliëntacceptatieprocedure te doorlopen, waarbij getoetst wordt of wij met desbetreffende partij een cliëntrelatie mogen aangaan met in acht neming van de onafhankelijkheidsregels. Bent u bereid op te nemen dat artikel 26.1 wederzijdse werking heeft? 16 In de selectieleidraad op pagina 16 onderaan staat in de tabel voor de omvang van het R&K dossier: 1A4 en vervolgens 1 A4 per dossier. Is het voor beiden gezamenlijk 1 A4 of is het 1 A4 voor het Risico dossier en 1 A4 voor het Kansendossier? Het is 1 A4 voor een Risico dossier (bijlage I) en 1 A4 voor een kansen dossier (bijlage J). Welke partij(en) is/zijn de huidige leverancier(s) en voor welke onderdelen van het IT landschap 9 is/zijn zij verantwoordelijk? Zie het antwoord op vraag 21 van de Nota van Inlichtingen. Zijn er in de bestaande contracten van de huidige leverancier(s) afspraken gemaakt over 9 informatiebeveiliging? Zo ja, welke afspraken specifiek? Ja, zie het antwoord op vraag 20 van de Nota van Inlichtingen. In de sourcingsplanning is de aanbesteding van adviesdiensten opgenomen. Welke typen adviesdiensten vallen hieronder? Op welke wijze zijn deze adviesdiensten gerelateerd aan, of hebben raakvlakken met security? Welke invloed heeft de SI op de verschillende aanbestedingen, gezien de gegeven planning? Kunt u die invloed beschrijven per cluster? In de planning wordt onderscheid gemaakt tussen Geo informatie (bouw) en Geo informatie (beheer). Kunt u specifiek aangeven wat het verschil is tussen deze twee en wat door HbR intern en door externe leveranciers wordt uitgevoerd? In de planning wordt ook Modaliteiten & Milieu vermeld, terwijl in de clustering in de sourcing visie dit niet vermeld wordt. Kunt u aangeven wat dit onderdeel inhoudt en hoe zich dit verhoudt tot de clustering in de sourcing visie? Ja, in de planning is de aanbesteding van Adviesdiensten opgenomen. Type Adviesdiensten moeten nog in detail bepaald worden maar betreft op hoofdlijnen IT Regie rollen. De raakvlakken met IT Security moeten nog bepaald worden. De SI levert security eisen aan t.b.v. de aan te besteden clusters en zorgt tijdens de transitie/ transformatie van het desbetreffende cluster voor de borging van de SI prestaties in de nieuwe clusters. Zie ook het antwoord op vraag 52 van de Nota van Inlichtingen. Geo 2.0 wordt door het programma POI gerealiseerd. De gunning van de ontwikkeling van Geo 2.0 betreft de periode tot Geo 2.0 wordt per door de nieuw te contracteren HICintegrator in productie genomen. De ontwikkeling vindt vanaf dat moment plaats onder regie van de HIC-integrator. In de periode vóór wordt geen productiegang gerealiseerd met ondersteuning van IV. Vanaf valt de bouw van Geo 2.0 onder verantwoordelijkheid van de HIC-integrator. Er wordt op dit moment geen Informatievoorzieningen geleverd voor Modaliteiten & Milieu. Deze ontwikkeling valt binnen cluster HIC.