bijzondere informatie - Pagina niet gevonden

• Van marktinventarisatie tot aanbieding voor evaluatie
Doel hiervan is om in korte tijd goed werkzame oplossingen te vinden die aan de eisen (kunnen)
voldoen.
Bij een globale behoeftestelling waarbij géén specifiek ICT-beveiligingsproduct ter evaluatie wordt
aangeboden, zal de AIVD/Cryptofaciliteit afhankelijk van de prioriteit in samenspraak met de
behoeftesteller en AIVD/NBV inventariseren of er al geschikte beveiligingsoplossingen op de
markt zijn die voldoen aan de gestelde behoefte. Hier zijn drie mogelijkheden:
1 Er worden producten gevonden die voldoen en die nationaal zijn goedgekeurd. De
behoeftesteller kan direct de betreffende producten aanschaffen.
2 Er worden producten gevonden die voldoen, maar die nog niet nationaal zijn goedgekeurd.
Indien er nog geen evaluatie heeft plaatsgevonden of de evaluatie van een te laag niveau is,
zal de oplossing formeel worden aangemeld voor nationale evaluatie door het NBV.
In geval de WBI zo heeft besloten kan de AIVD/cryptofaciliteit de opdrachtgever zijn, of
anders het betreffende ministerie.
De opdrachtgever stelt in samenwerking met de BVA van het ministerie en de AIVD
criteria op die als uitgangspunt zullen dienen voor de evaluatie. De criteria zijn gebaseerd
op het Vir-bi en de NBV-criteria.
Daarna kan het product worden aangeboden voor evaluatie.
3 Mocht tijdens de marktverkenning blijken dat er geen geschikte beveiligingsproducten
verkrijgbaar zijn, dan zullen deze specifiek moeten worden ontwikkeld. Mogelijk is dit een
deelontwikkeling. In geval de WBI zo heeft besloten kan de AIVD/cryptofaciliteit de
opdrachtgever zijn, of anders het betreffende ministerie.
Indien daartoe wordt besloten stelt de opdrachtgever een Programma van Eisen (PvE) op
met bijdragen van de behoeftesteller, de betreffende BVA, en de AIVD. In het Programma
van Eisen zullen evaluatiecriteria worden vastgelegd. De criteria zijn gebaseerd op het Virbi
en de NBV-criteria.
Na akkoord van de betrokken partijen over het PvE wordt de productontwikkeling en bij
voorkeur ook de evaluatie gestart. Door het direct starten van de evaluatie kan de evaluatie
parallel aan de ontwikkeling kan plaats vinden. Het is van belang om de AIVD/NBV in een
zo vroeg mogelijk stadium te betrekken bij het opstellen van de PvE en de
productontwikkeling, zodat goed kan worden gepland wanneer evaluatiecapaciteit moet
worden geleverd en resultaten opgeleverd.
Toelichting:
De evaluaties kunnen in fasen worden uitgevoerd, afhankelijk van datgene wat de leverancier op
dat moment moet afleveren. Dit kan dus een theoretische evaluatie zijn op een model of
conceptbeschrijving vroeg in het proces, maar ook de evaluatie van de implementatie in het
uiteindelijke product. Voor elke (deel)evaluatie heeft het NBV tijd nodig. Daarom is het van belang
dat er een goede projectplanning wordt opgesteld waarin harde afspraken worden gemaakt over de
evaluatiemomenten: opleverdata van informatie en apparatuur door de fabrikant aan het NBV en
de datum dat resultaten van het NBV beschikbaar moeten zijn voor de opdrachtgever in verband
met bijvoorbeeld een betaalmoment. Om deze data te bepalen is het belangrijk met het NBV te
overleggen over de benodigde expertise.
Ook bij behoeftestellingen waarbij goedkeuring gevraagd wordt voor een specifiek ICTbeveiligingsproduct,
zal de AIVD/Cryptofaciliteit nagaan of het betreffende product al een
56