De overheid scherpt haar eisen aan. Niet marginaal, maar fundamenteel. Met de publicatie van de Algemene Beveiligingseisen voor Rijksoverheidsopdrachten, kortweg ABRO 2026, wordt de lat hoger gelegd voor iedereen die levert aan de Rijksoverheid of de politie.
Wie zaken wil doen met de overheid moet aantoonbaar grip hebben op informatiebeveiliging. Niet alleen technisch, maar organisatorisch en bestuurlijk.
Dit is geen NIS2. Het raakt wel dezelfde kern. En voor veel MKB-leveranciers is de impact groter dan ze nu inschatten.
Wat is ABRO eigenlijk?
ABRO is een set beveiligingseisen die geldt bij overheidsopdrachten waarbij risico’s kunnen ontstaan voor nationale veiligheidsbelangen. Het gaat om álle leveranciers die producten of diensten leveren die invloed kunnen hebben op informatie, systemen of processen van de overheid.
Dit beperkt zich niet tot IT. Denk ook aan:
- software en cloud-diensten;
- beheer en onderhoud;
- consultancy, onderzoek en data-analyse;
- facilitaire, logistieke en technische dienstverlening.
De vraag die ABRO stelt is simpel. Vorm jij als leverancier een risico in de keten, of heb je dat onder controle.
Waarom komt dit nu?
De context is duidelijk. Spionage, sabotage en digitale aanvallen nemen toe. Vaak niet rechtstreeks, maar via leveranciers. De keten is kwetsbaar geworden.
ABRO past in een bredere aanpak rond economische veiligheid. De overheid beweegt weg van impliciet vertrouwen en stuurt nadrukkelijker op aantoonbaarheid. Niet omdat leveranciers het slecht doen, maar omdat de risico’s te groot zijn geworden om op aannames te blijven leunen.
Wat betekent ABRO concreet voor leveranciers?
ABRO draait niet om het invullen van een checklist. Het gaat om bewijs. Je moet kunnen laten zien:
- hoe informatie wordt beschermd;
- wie waarvoor verantwoordelijk is;
- welke risico’s je kent en hoe je die beheerst;
- hoe je omgaat met incidenten;
- hoe je leveranciers en onderaannemers beoordeelt.
Belangrijk. Dit moet vooraf geregeld zijn. Niet pas wanneer een aanbesteding al loopt of wanneer er vragen worden gesteld.
Voor veel MKB-organisaties zit hier de uitdaging. Niet omdat ze onveilig werken, maar omdat veel zaken impliciet zijn geregeld. In mensen, routines en ervaring. Niet altijd vastgelegd of aantoonbaar gemaakt.
Niet elke opdracht is hetzelfde
Een belangrijk punt in ABRO wordt vaak gemist. De beveiligingseisen zijn niet voor elke opdracht even zwaar. Ze worden strenger naarmate de te beschermen belangen groter zijn. De overheid kijkt nadrukkelijk naar risico. Onder andere naar:
- de gevoeligheid van informatie;
- de impact bij verstoringen of misbruik;
- de mate van toegang tot systemen of processen;
- de afhankelijkheid van de overheid van de leverancier;
Hoe groter het risico voor nationale veiligheidsbelangen, hoe zwaarder de eisen. Dat betekent in de praktijk dat:
- een IT-dienstverlener zwaarder wordt beoordeeld dan een facilitaire leverancier;
- structurele toegang tot data leidt tot hogere eisen;
- langdurige of kritieke contracten strakker worden getoetst dan incidentele opdrachten.
ABRO is daarmee geen one-size-fits-all model, maar risicogedreven en proportioneel. Tegelijk is het scherp. Je moet weten welke rol je speelt in de keten en of je inrichting daarbij past.
ABRO bouwt voort op wat er al is
Een geruststellend punt uit de Staatscourant. ABRO vraagt geen volledig nieuw beveiligingsframework. Het sluit expliciet aan op bestaande normen en werkwijzen. De overheid verwijst onder andere naar:
- de BIO als referentiekader binnen de overheid;
- internationale normen zoals ISO 27001;
- gangbare risicogedreven beveiligingsframeworks.
Werk je al met ISO 27001, een gestructureerde risico-inventarisatie of een volwassen beveiligingsbeleid, dan is dat een stevig vertrekpunt.
ABRO kijkt niet naar welk label je voert, maar naar:
- of maatregelen passen bij het risico;
- of verantwoordelijkheden duidelijk zijn belegd;
- of keuzes uitlegbaar zijn;
- en of je dit alles aantoonbaar hebt vastgelegd.
Samenhang is hierbij doorslaggevend. Techniek, organisatie en mens moeten logisch op elkaar aansluiten. Losse maatregelen zonder context zijn onvoldoende.
ABRO en NIS2. Verwant, maar niet hetzelfde
Er ontstaat snel verwarring. Begrijpelijk. NIS2 is wetgeving, met toezicht en mogelijke sancties, gericht op vitale en belangrijke entiteiten. ABRO is inkoopbeleid, gericht op leveranciers van de overheid. Maar de beweging is vergelijkbaar:
- focus op ketenrisico’s;
- bestuurlijke verantwoordelijkheid;
- aantoonbare beheersing;
- minder vrijblijvendheid
Organisaties die nu al werken met risico-analyses en gestructureerde governance hebben een duidelijke voorsprong.
Waar liggen de kansen?
ABRO wordt soms gezien als een extra drempel. Wij zien vooral kansen. Voor leveranciers die:
- zich willen onderscheiden in aanbestedingen;
- professioneel willen samenwerken met de overheid;
- grip willen op hun eigen risico’s;
- minder reactief en meer voorspelbaar willen werken.
Aantoonbare informatiebeveiliging wordt een concurrentievoordeel. Niet alleen richting de overheid, maar ook richting andere grote opdrachtgevers, verzekeraars en ketenpartners.
Wat kun je nu al doen?
Je hoeft niet te wachten tot ABRO expliciet wordt uitgevraagd. Logische eerste stappen zijn:
- breng cyberrisico’s in kaart. Mens, organisatie en techniek;
- leg verantwoordelijkheden vast op managementniveau;
- zorg voor basisbeleid dat past bij jouw rol en risico;
- beoordeel leveranciers en onderaannemers;
- zorg dat je kunt uitleggen wat je doet en waarom.
Niet perfect, wel onder controle.
Hoe helpt TT3P hierbij?
TT3P werkt met organisaties die geen eigen security officer hebben, maar wel verantwoordelijkheid dragen. Ook richting overheid en ketenpartners. Wij helpen onder andere met:
- een praktische risico-inventarisatie en -evaluatie;
- het inrichten van governance en beleid;
- aantoonbaarheid richting opdrachtgevers;
- leverancierschecks en ketenbeheersing;
- doorlopende ondersteuning via een Remote Security Officer.
Geen dikke rapporten voor de kast. Wel rust, overzicht en regie. ABRO komt eraan. De vraag is niet of u ermee te maken krijgt, maar wanneer. Wil u weten waar uw organisatie staat en wat er in uw situatie proportioneel en verstandig is? Dan kijken we graag even met je mee.
