Public procurement notice: Voluntary Ex Ante Transparency Notice
Published: 2021-07-27
Buyer: RDW
Country: NL
Contract type: Supplies
Procedure: Negotiated without a prior call for competition
CPV classification: 30210000 | 48732000: Data-security software package | 72000000
Estimated value: 300000 EUR
Award criteria: The most economic tender

Technical requirements: De RDW maakt sinds 2001 gebruik van Hardware Security Modules (HSM) voor het beveiligen van sleutelmateriaal in PKI-systemen en een aantal andere systemen. Deze systemen gaan om met encryptie of signing waarbij het sleutelmateriaal in een HSM wordt geplaatst. Sinds 2018 wordt er gebruik gemaakt van Utimaco HSM’s.
Op dit moment worden er verschillende Utimaco HSM’s gebruikt. Voor de eID en eDL keten worden Utimaco PCIe insteek HSM’s gebruikt. Voor de kentekenketen en keymanagement systeem worden Utimaco LANHSM’s gebruikt.
De PCIe HSM’s worden voor een zeer kritische keten gebruikt die uitgifte doet naar burgers voor de eID en het rijbewijs en vormen hier een essentieel onderdeel van. De keten maakt gebruik van functionele modules, deze modules zijn binnen de RDW geprogrammeerd en door een externe partij geëvalueerd. Deze code draait in de Utimaco HSM en is HSM-specifiek.
Motivatie/verklaring: als RDW de Utimaco HSM’s moet vervangen dan heeft dit een grote impact op de bedrijfsvoering en de continuïteit van de ketens waarin ze worden toegepast omdat de HSM het hart is van de eID, rijbewijs en kenteken (uitgifte) keten. Er is bij de ontwikkeling van deze keten veel aandacht besteed aan de beveiliging, er worden namelijk per keten meer dan twintig certificaten en symmetrische sleutels gebruikt voor zowel databescherming als chipbescherming. De keten is extreem complex voor wat betreft het sleutelgebruik en het -beheer.
Indien de PCIe HSM vervangen wordt door een HSM van een ander merk is de impact keten groot vanwege de aanpassingen die gedaan moeten worden in de ketensoftware en de herontwikkeling van de functionele modules met de daarbij gepaard gaande herevaluatie. De keten zal weer volledig moeten worden getest en ook zullen de risico’s opnieuw moeten worden bekeken zowel technisch als in de eID keten. De software is door een derde partij ontwikkeld en getest. Deze externe partij zal dit weer moeten ontwikkelen en testen als de HSM’s vervangen worden door een ander merk.
Naast de software aanpassingen geldt ook dat de beheerorganisatie van de RDW kennis moet opdoen van een eventueel nieuwe HSM met alle daarbij behorende sleutelprocedures en disaster recovery procedures. Het RDW beheerteam op de PKI en HSM-keten is een klein team met specialistische kennis. Een eventuele migratie heeft een grote organisatorische impact op de bedrijfsvoering, de continuïteit en op tijd en geld in verhouding met de geraamde opdrachtwaarde. Op grond van bovenstaande omstandigheden acht de RDW het gerechtvaardigd om de opdracht één op één te gunnen aan Compumatica aangezien Compumatica het exclusieve recht in Nederland heeft om Utimaco HSM te leveren. Hiermee blijft de continuïteit van de genoemde ketens gewaarborgd en blijft de impact op de organisatie, de dienstverlening en de opgeleide medewerkers mede vanuit financieel oogpunt beperkt.
De RDW is derhalve voornemens om per 1.11.2021 een nieuwe raamovereenkomst te sluiten met Compumatica voor een initiële duur van drie jaar met de optie om twee x met één jaar te verlengen.


Winner: Compumatica
Award value: 300000