SPECIFICATIE CRITERIA VOOR NIVEAUS BRONS ZILVER - GOUD

SPECIFICATIE CRITERIA VOOR NIVEAUS BRONS ZILVER - GOUD Behorende bij Samenwerkingsovereenkomst tussen VNG/KING en leveranciers van gemeentelijke softwareproducten - 2016-2018

Aanleiding VNG/KING gaat met leveranciers van gemeentelijke software een samenwerkingsovereenkomst aan ( Samenwerkingsovereenkomst tussen VNG/KING en leveranciers van gemeentelijke softwareproducten versie 15 januari 2016 in het vervolg genoemd: convenant ). In dit convenant zijn afspraken gemaakt voor het vergroten van de continuïteit en flexibiliteit van software die bij gemeenten wordt gebruikt. Leveranciers die gemeenten hierin aantoonbaar beter ondersteunen verdienen daarvoor een podiumplaats. Deze systematiek van toekenning van een podiumplaats kent drie niveaus: brons, zilver en goud. Indien een leverancier van mening is dat voor een bepaald pakket een (hoger) niveau is bereikt, dan kan de leverancier bij VNG/KING een verzoek indienen, voorzien van de benodigde bewijzen, om een bepaald niveau toegekend te krijgen. Om in aanmerking te komen voor de niveaus brons, zilver of goud kan een leverancier zijn softwareproduct laten voldoen aan de eisen die hieraan worden gesteld door VNG/KING. In dit document staat welke eisen gelden per niveau, welke bewijsvoering daarvoor wordt gevraagd en op welke wijze bewijsvoering en toetsing plaatsvindt. Dit document geeft invulling aan afspraak 44 uit het convenant: VNG/KING stelt de inhoudelijke, procesmatige en technische eisen op voor informatieverstrekking en publicatie van de niveaus en maakt deze begin 2016 bekend; Hieronder wordt per niveau aangegeven welk effect wordt beoogd: Niveau Hoofdonderwerp Beoogde effect Brons Functionaliteit / interoperabiliteit Het voldoen van pakketsoftware aan minimale functionele eisen voor de geautomatiseerde ondersteuning van processen en/of informatieketens en/of diensten. Zorgen dat het pakket past binnen een samenhangende informatievoorziening. Zilver Continuïteit in de uitvoering en bewezen werking in gemeentelijke uitvoeringsketens. Maatregelen voor het kunnen meenemen van eigen data en maatregelen voor continuïteit in geval van calamiteiten bij de leverancier. Goud Flexibiliteit Het beheerst en gecontroleerd kunnen veranderen van leverancier en van softwarepakket. Toekenning van de niveaus wordt elke drie maanden vastgesteld. Het gevraagde niveau wordt alleen toegekend als op de peildatum is voldaan aan de inhoudelijke, procesmatige en technische eisen. Versie 1.0 - maart 2016 2

De peildata inclusief datum voor uiterste indiening en toekenning zijn als volgt: Kwartaal Peildatum Uiterste datum Datum toekenning indiening aanvraag 1 15 januari 15 januari 15 februari 2 15 april 15 april 15 mei 3 15 juli 15 juli 15 augustus 4 15 oktober 15 oktober 15 november Gemeenten bepalen zelf hoe belangrijk het voor hen is dat de software van een leverancier voldoet aan een bepaald niveau. VNG/KING stuurt hierin niet maar faciliteert gemeenten door inzichtelijk te maken wat de voordelen zijn van softwarepakketten met een bepaalde niveau en door de behaalde niveaus inzichtelijk te maken in de Softwarecatalogus. Reikwijdte De systematiek van toekenning van de niveaus brons, zilver en goud zijn gestapeld en het is de bedoeling om inzichtelijk te maken welke softwareproducten aan bepaalde kwaliteitseisen voldoen. Het gaat om erkenning van softwareproducten die aansluiten bij de visie van VNG/KING waarbij interoperabiliteit, continuïteit en flexibiliteit van het applicatielandschap essentieel zijn. Het betreft geen certificering of keurmerk. De leverancier is zelf verantwoordelijk voor de productkwaliteit, het testen ervan, toetsen en de juiste en actuele informatieverstrekking in de Softwarecatalogus. VNG/KING is op geen enkele wijze verantwoordelijk voor het uitvoeren van testen op het softwareproduct of voor de kwaliteit ervan. Dit document beschrijft hoe VNG/KING de toekenning van en controle op de niveaus inricht. Dit document behoort bij het convenant en heeft betrekking op softwareproducten en productversies die worden geleverd door leveranciers die het convenant hebben ondertekend. Het betreft gemeentelijke bedrijfssoftware die 1) als zelfstandig softwareproduct verworven, geïmplementeerd en gebruikt kan worden en; 2) door een eindgebruiker binnen de uitvoering van een of meerdere gemeentelijk processen, ketens of diensten kan worden gebruikt en; 3) functioneel gezien deel uitmaakt van de GEMMA. Softwareproducten die niet aan bovenstaande drie voorwaarden voldoen, vallen niet onder de niveaus van brons, zilver en/of goud en kunnen geen aanspraak maken hierop. Voorbeelden van software die wel voldoet zijn: Belastingapplicaties, Vergunningenapplicaties, Zaaksystemen, Burgerzaken systemen en Gemeentelijke KCCsystemen; Voorbeelden van software die niet voldoet zijn: middleware/servicebus en intermediaire producten, systeemsoftware, databasemanagementsystemen, technische beheersoftware, netwerk-, communicatie- en integratiesoftware, ICT ontwikkelsoftware en kantoorautomatiseringssoftware. Versie 1.0 - maart 2016 3

De niveaus brons, zilver of goud worden altijd per pakketversie toegekend. Elke nieuwe pakketversie wordt opnieuw beoordeeld. Een leverancier die meerdere pakketversies levert, kan per pakketversie verschillende niveaus verwerven. Indieningsvereisten De indieningsvereisten gelden voor elk van de drie niveaus brons, zilver en goud. Als aan één of meer van deze eisen niet voldaan wordt, wordt het gevraagde niveau niet toegekend. Toetsing van de vereisten wordt gedaan op de normen en standaarden die op het moment van beoordeling van toepassing zijn. Nr. Eis Bewijs 1 2 3 Ondertekening van de verklaringen door de eindverantwoordelijke voor de productkwaliteit. Volledigheid en consistentie van informatie. De informatie is open en openbaar en blijft beschikbaar waarbij wijzigingen op versieniveau worden opgeslagen en versies duidelijk zichtbaar zijn. Bij ondertekening van de verklaring en de bijlagen wordt aangegeven dat ondertekenaar eindverantwoordelijkheid heeft. De ingediende informatie is volledig en consistent en komt overeen met de productinformatie in de Softwarecatalogus. Publicatie via duurzame URL s of via opname in de conformiteitsverklaring (zie uitwerking eisen per niveau). Van de informatie die op het web wordt geplaatst, is de versie en datum voor de lezer zichtbaar. 4 5 Alle informatie is in PDF/A ingediend conform de standaard formulieren, indien links worden gebruikt dienen dit duurzame URL s te zijn. De informatie is in de Nederlandse taal opgesteld. Gebruik van de standaard formulieren. De gebruikte links worden getoetst op: a) duurzame naamgeving van de URL; b) openbare toegang tot de informatie en c) reproduceerbaarheid/controleerbaar (bij periodieke controle dienen de links te werken). Alle documenten zijn in de Nederlandse taal opgesteld. Versie 1.0 - maart 2016 4

Eisen Brons Niveau brons richt zich vooral op de functionele inpasbaarheid van het softwarepakket binnen het gemeentelijke landschap. Door inzichtelijk te maken dat een pakket aan brons voldoet kan een gemeente erop vertrouwen dat de beloofde functionaliteit wordt geleverd en dat de interactie met andere pakketten conform gemeentelijke, landelijke en/of open standaarden verloopt. Onderstaand is aangegeven welke eisen gelden (conform het convenant en met identieke nummering als in het convenant) en hetgeen aangetoond moet worden om aan de vereisten te voldoen (het bewijs). Nr. Eis Bewijs 1a 1b 1c 2 Inpasbaarheid pakket binnen het GEMMA applicatielandschap. De pakketversie voldoet aan alle verplichte standaarden van de bijbehorende GEMMA referentiecomponent(en) en toont compliance aan door publicatie van een positief testrapport in de Softwarecatalogus voor zover er een compliance voorziening beschikbaar is. Functionele afdekking is conform de definitie en eisen van de GEMMA referentiecomponenten. Bij gebruik van eigen koppelingen wordt aangetoond dat deze werken (bijvoorbeeld vanuit een praktijkimplementatie van die koppeling met systemen van andere leveranciers) en de specificaties van deze koppelingen worden beschikbaar gesteld aan klanten, potentiële klanten en aan leveranciers waarmee voor klanten gekoppeld moet worden. Bewezen werking van de aangeboden componenten. De vereiste, actuele testrapporten zijn gepubliceerd in de Softwarecatalogus, waarmee compliance is aangetoond. Het betreffende pakket heeft in de Softwarecatalogus de status in gebruik. Een door leverancier getekende conformiteitsverklaring brons (zie bijlage) Een door leverancier getekende conformiteitsverklaring brons (zie bijlage) De conformiteitsverklaring brons is door tenminste 1 referentiegemeente getekend, die het betreffende product in gebruik heeft en aangeeft dat het werkt voor het gehele functionele gebied dat het pakket afdekt. De gemeente heeft in de Softwarecatalogus vermeld dat dit pakket gebruikt wordt. Versie 1.0 - maart 2016 5

Eisen Zilver Niveau zilver richt zich vooral op continuïteit van het softwarepakket. Continuïteit ten aanzien van het gebruik van het product (service levels, gebruik van het pakket in ketens) en ten aanzien van het kunnen migreren naar een ander systeem dan wel het kunnen meenemen van de eigen data van de gemeente. Zodoende kan een gemeente de dienstverlening zo goed mogelijk continueren, ook in geval van bijvoorbeeld een faillissement van een leverancier. Onderstaand is aangegeven welke eisen gelden (conform het convenant en met identieke nummering als in het convenant) en hetgeen aangetoond moet worden om aan de vereisten te voldoen (het bewijs). Nr. Eis Bewijs 1 2 3 Voldoen aan niveau BRONS. De model Service level agreements (SLA s) zijn open en openbaar beschikbaar. Specificaties voor migratie zijn open en openbaar en conform de eisen beschikbaar. Zie Eisen Brons in dit document. De leverancier publiceert de model SLA s conform de indieningsvereisten. De specificaties in de model SLA bevatten tenminste: 1) Beschrijving van de functionaliteit van de diensten; 2) Openstellingstijden; 3) Gebruikersondersteuning; 4) Prestatie-eisen die aan de dienst gesteld worden t.a.v. Beschikbaarheid, Responsetijd, Probleemherstel en onderhoudsronden binnen een meetperiode; 5) Wijze waarop wordt gemeten; 6) Wijze van rapportage. De conformiteitsverklaring zilver is door tenminste 1 gemeente getekend waarbij deze gemeente optreedt als referent. Deze gemeente verklaart hiermee dat de afgesloten SLA tenminste aan bovenstaande specificatie voldoet. De leverancier publiceert de specificaties voor migratie conform de indieningsvereisten. De specificaties voor migraties bevatten tenminste 1) Beschrijving van de dienstverlening voor migraties; 2) Beschrijving van standaard tooling voor migratie; 3) Beschrijving van de installatie, de-installatie en migratie van de software die door de professionals van opdrachtgever uitgevoerd moet worden; 4) Een uitgewerkt draaiboek met bijbehorende checklist voor het uitvoeren van installatie, testen, de-installatie en migratie. Versie 1.0 - maart 2016 6

4 5 6 Specificaties voor dataportabiliteit betreffende de data en bijbehorende metadata waar de klanten van leverancier eigenaar van zijn, zijn open en openbaar, zowel voor initiële inrichting n.a.v. levering derden (import) als voor opleveren dataset bij migratie naar concurrerend systeem (export). Bewezen werking van de aangeboden componenten in een keten (met ten minste 2 andere leveranciers). Leverancier publiceert op welke wijze bedrijfszekerheid voor haar klanten wordt gewaarborgd, ook in geval van een mogelijk eigen faillissement. De leverancier publiceert de specificaties voor dataportabiliteit conform de indieningsvereisten. De specificaties voor dataportabiliteit bevatten voor zowel de import als export van data tenminste: 1) De specificaties betreffen alle data (inclusief bedrijfsregels, codetabellen, inrichtingsparameters) waarvan de opdrachtgever eigenaar is 2) De beschrijving van de betekenis van de data op entiteiten en attributen; 3) Het formaat waarin data kan worden geëxporteerd/geïmporteerd (dient minimaal een publiek/ open source formaat te zijn zoals.csv,.txt of vergelijkbaar); 4) Welke metagegevens wel en niet worden meegenomen en het formaat waarin dat plaatsvindt; 5) De beschrijving van de import- en exportfunctionaliteit die het softwarepakket ondersteunt (hierin dient minimaal één publiek /open source formaat te zijn opgenomen); 6) Beschrijving van de data die niet in de import en export meegenomen wordt omdat deze geen eigendom zijn van de klant; 7) Opgave van de norm(en) die u voor dataportabiliteit gebruikt ( hierin minimaal benoemd: compleetheid, juistheid, consistentie). De conformiteitsverklaring zilver is door tenminste 1 referentiegemeente getekend, die het betreffende pakket in productie heeft en als zodanig heeft vermeld in de Softwarecatalogus. Deze gemeente verklaart dat de betreffende pakketversie/componenten werkt/werken en in welke keten deze werkt. Aangegeven wordt met welke ketenpartners / andere leveranciers dit bewezen werkt. Het aantal referenten moet dekkend zijn in relatie tot het aantonen dat de betreffende pakketversie/componenten met tenminste 2 andere leveranciers bewezen werken. Tevens dient de gemeente alle door de leverancier aangegeven functionele gebieden te gebruiken. De leverancier publiceert de wijze van waarborgen bedrijfszekerheid conform de indieningsvereisten. De specificaties over bedrijfszekerheid bevatten tenminste: 1) Beschrijving van op welke wijze leverancier de bedrijfszekerheid voor klanten borgt (bijv. via business continuity voorzieningen, (tijdelijke vervanging, work-around, ESCROW of vergelijkbaar); 2) De voorwaarden die u hanteert voor het continueren van gebruik, het gebruiksrecht en de eventuele vrijgave van de Versie 1.0 - maart 2016 7

Versie 1.0 - maart 2016 8 broncode; 3) Opgave van de externe en eigen norm(en) die u voor bedrijfszekerheid gebruikt.

Eisen Goud Niveau goud richt zich op het bieden van flexibiliteit aan gemeenten. Flexibiliteit om sneller vernieuwingen door te kunnen voeren doordat softwarepakketten makkelijker vervangbaar worden, zowel door nieuwe versies of pakketten van eenzelfde leverancier als van een andere leverancier. Onderstaand is aangegeven welke eisen gelden (conform het convenant en met identieke nummering als in het convenant) en hetgeen aangetoond moet worden om aan de vereisten te voldoen (het bewijs). Nr. Eis Bewijs / toets 1 2 3 Voldoen aan niveau ZILVER. Leveren van een overstapservice (in en out) welke open en openbaar conform de eisen beschikbaar wordt gesteld. Bij aanschaf van een pakketversie wordt in de contractvoorwaarden de exit-regeling opgenomen, inclusief bepalingen over datamigratie en overstapservice en een vooraf bepaalde prijsstructuur. Zie Eisen Zilver in dit document De leverancier publiceert de geboden overstapservice conform de indieningsvereisten. De specificaties over overstapservices bevatten tenminste 1) Beschrijving van uw dienstverlening als u latende partij bent; 2) Beschrijving van uw dienstverlening als u verkrijgende partij bent; 3) Wijze waarop u de samenwerking vormgeeft tussen latende en verkrijgende partij; 4) De verwachte overstaptermijn als u latende partij bent; 5) De verwachte overstaptermijn als u verkrijgende partij bent; 6) Uw aanpak en maatregelen voor continuïteit van de klant en risicobeheersing van de transitie; 7) De (externe of eigen) normen, methodes en voorwaarden die u gebruikt. De conformiteitsverklaring goud is door tenminste 1 gemeente getekend waarbij deze gemeente optreedt als referent. Deze gemeente verklaart hiermee dat de in het afgesloten contract de exit-regeling is opgenomen conform ten minste de volgende specificaties: 1) De standaard leveringsvoorwaarden voor exit van de leverancier; 2) De standaard voorwaarden voor datamigratie van de leverancier; 3) De standaard voorwaarden voor overstapservices van de leverancier; 4) De prijsopbouw in vaste en variabele componenten voor overstapservices van de leverancier. Versie 1.0 - maart 2016 9

Proces Een leverancier kan per versie van een softwareproduct een aanvraag indienen voor toekenning van een bepaald kwaliteitsniveau. De procedure hiervoor is als volgt: VERANTWOORDELIJKHEDEN De leverancier is verantwoordelijk voor: Het op tijd aanleveren van het juist en volledig ingevulde aanmeldformulier en de conformiteitsverklaring, volgens de in dit document opgenomen data; Het op tijd aanleveren van een juist en volledig ingevulde verklaring van een gemeente, ondertekend door een binnen de gemeente verantwoordelijke voor informatiemanagement/ict; Het aanmeldformulier, de conformiteitsverklaring inclusief de verklaring van de gemeente dient te worden toegestuurd aan info@kinggemeenten.nl onder vermelding van Aanvraag kwaliteitsniveau brons-zilver-goud ; Het bijhouden van de eigen productinformatie en de bewijsvoering voor een bepaalde kwaliteitsniveau in de Softwarecatalogus. VNG/KING is verantwoordelijk voor: Het versturen van een ontvangstbevestiging na ontvangst van de aanmelding; Beoordeling van de aanvraag aan de hand van de criteria en wijze zoals beschreven in dit document binnen de daarvoor geldende termijn; VNG/KING geeft elke 3 maanden (op 15 februari, 15 mei, 15 augustus en 15 november) aan of de aangevraagde niveau is toegekend of niet. VNG/KING levert een onderbouwing wanneer toekenning van het aangevraagde niveau niet doorgaat; Wanneer een gemeente een klacht indient over een pakket waarbij het toegekende niveau in twijfel wordt getrokken, volgt er een onderzoek door VNG/KING om te bepalen of de klacht gegrond is of niet. Tijdens dit onderzoek zal het toegekende niveau worden voorzien van een in onderzoek -vermelding in de Softwarecatalogus; Het bijhouden van toekenningen (inclusief in onderzoek ) en vermelding hiervan samen met toekenningsdatum in de Softwarecatalogus. PROCESGANG Naast het aanvraagproces zijn de volgende ondersteunende processen onderscheiden: Bezwaar: Leverancier kan bezwaar maken bij een ongunstige beoordeling door VNG/KING. Bij bezwaar dient leverancier extra bewijsmateriaal toe te voegen, waarna een herbeoordeling van VNG/KING volgt; Periodieke en ad hoc steekproef: VNG/KING kan periodiek controleren of al beoordeelde pakketten/pakketversies nog steeds aan de vereisten van het toegekende niveau voldoen. Dit kan mede gedaan worden wanneer er signalen van gemeenten of van andere belanghebbende partijen zijn ontvangen waarbij het toegekende niveau in twijfel wordt getrokken. In de Softwarecatalogus wordt aangegeven voor welk pakket/pakketversie een onderzoek loopt. Indien na controle blijkt dat niet aan de vereisten wordt voldaan heeft VNG/KING het recht om toekenning van het kwaliteitsniveau terug te trekken; Versie 1.0 - maart 2016 10

Jaarlijkse actualiteitstoets: Elke toekenning geldt voor maximaal één jaar. Bij het verlopen van deze periode kan de leverancier aangeven of deze de toekenning te willen verlengen en dient leverancier opnieuw het bewijs te leveren dat het toegekende niveau nog steeds van toepassing is met de dan geldende indieningsvereisten, normen en standaarden. Voor de nieuwe versie van het pakket dient de leverancier een nieuwe aanvraag in; Herbeoordeling na wijzigingen in wet- en regelgeving, in GEMMA en/of in standaarden. Afhankelijk van de zwaarte van deze wijzigingen die effect hebben op een toegekend niveau van een bepaald pakket, dient de leverancier op verzoek van VNG/KING te bewijzen dat het pakket aan de voorwaarden van de gewijzigde wet/regelgeving, GEMMA en/of standaarden voldoet om in aanmerking te blijven komen voor een bepaald niveau; Bijhouden van de Softwarecatalogus. De leverancier is verantwoordelijk voor het bijhouden van de eigen productinformatie en de bewijsvoering voor een bepaald niveau. VNG/KING is verantwoordelijk voor het vermelden van een toegekend niveau met toekenningsdatum bij een specifieke pakketversie; VNG/KING zal elk half jaar de inhoudelijke, procesmatige en technische eisen en het proces zoals beschreven in dit document evalueren op de beoogde effecten, de acceptatiegraad en de uitvoering in de praktijk. Leveranciers wordt de kans geboden in deze evaluatie betrokken te zijn. Op grond van de evaluaties kan bijstelling van dit document plaatsvinden. Tijdens de eerste halfjaarlijkse evaluatie zal worden nagegaan of het nodig is een onafhankelijke klachten/bezwaarprocedure en in te richten en hoe deze zal worden vorm gegeven. In de GEMMA Softwarecatalogus worden de toegekende niveaus met datum van toekenning getoond. Het wordt mogelijk voor gemeenten om pakketten te selecteren op toegekende niveaus. VNG/KING communiceert over de voordelen van de kwaliteitsniveaus aan de gemeenten. Bijlagen Bij dit document horen de volgende bijlagen (*deze worden later toegevoegd) Aanmeldingsformulier Conformiteitsverklaring Brons* Conformiteitsverklaring Zilver* Conformiteitsverklaring Goud* De conformiteitverklaring is inclusief de verklaring van de gemeente. Versie 1.0 - maart 2016 11

KWALITEITSINSTITUUT NEDERLANDSE GEMEENTEN NASSAULAAN 12 2514 JS DEN HAAG POSTBUS 30435 2500 GK DEN HAAG T 070 373 80 08 F 070 363 56 82 INFO@KINGGEMEENTEN.NL WWW.KINGGEMEENTEN.NL Versie 1.0 - maart 2016 12