De tijd dat veiligheid bij overheidsopdrachten vooral een defensiedingetje was, is voorbij. Waar eerder alleen Defensie werkte met een zwaar beveiligingskader (ABDO), schuift de rijksoverheid nu op naar één uniform normenkader voor alle opdrachten met nationale-veiligheidsrisico’s: ABRO.
Voor Mkb’ers die leveren aan de overheid betekent dat één ding: het speelveld verandert. Niet morgen, maar wel binnenkort. En wie te laat opschaalt, staat straks buiten.
ABDO: waar het vandaan komt
ABDO is het oorspronkelijke beveiligingskader van Defensie. Bedrijven die met vertrouwelijke militaire informatie werken, moeten voldoen aan eisen op het gebied van organisatie, personeel, fysieke beveiliging en cybersecurity. Het toezicht ligt daar bij de defensie-veiligheidsdiensten.
Die aanpak werkte, maar was te beperkt. Want niet alleen bij Defensie liggen veiligheidsrisico’s. Ook in IT-ketens, onderhoudscontracten, logistiek, politie-systemen en cloudomgevingen zitten zwakke plekken. Precies daarom wordt het oude defensiekader nu breder getrokken.
ABRO: één norm voor de hele rijksoverheid
ABRO wordt het uniforme pakket eisen voor overheidsopdrachten waar nationale veiligheid kan spelen. Het maakt niet uit welk ministerie opdrachtgever is: de basisnormen worden gelijk.
ABRO kijkt vijf kanten op:
- governance
- personeelsintegriteit
- fysieke beveiliging
- cybersecurity
- cloudbeheer
Elke leverancier die in die risicocategorie valt, moet aantonen dat hij dit op orde heeft. Niet alleen bij gunning, maar gedurende de hele opdracht.
Wie waarover gaat
Met ABRO komt er ook een nieuwe structuur voor toezicht. De uitvoering en controle worden belegd bij het Nationaal Bureau Industrieveiligheid (NBIV), gevormd uit onderdelen van AIVD en MIVD.
Hun rol:
- beoordelen of bedrijven voldoen aan de eisen
- risico’s in de keten zichtbaar maken
- adviseren over gunning of afwijzing
De opdrachtgever (bijvoorbeeld een ministerie of politieorganisatie) blijft verantwoordelijk voor het toepassen van ABRO in aanbestedingen en contracten. Maar de inhoudelijke toets komt bij het NBIV te liggen.
Wanneer dit gaat spelen
De formele besluitvorming over ABRO wordt eind 2025 verwacht. Daarna start de invoering. Nieuwe opdrachten met veiligheidsrisico’s gaan gefaseerd onder ABRO vallen. Bestaande ABDO-contracten blijven lopen tot einde contract; die schuiven niet automatisch over.
Voor MKB’ers betekent dat: dit is het moment om te bepalen wat je al op orde hebt en welke stappen je nog moet zetten. Wie nu begint, heeft ruimte om keuzes te maken. Wie wacht tot de eerste aanbesteding verschijnt, staat al 1-0 achter.
Wat betekent ABRO in de praktijk voor het MKB
ABRO is geen papieren formaliteit. Het vraagt echte aanpassingen: screeningsprocedures, betere toegangsbescherming, controle op onderaannemers en aantoonbare cybersecurity.
Voor grote leveranciers is dat werk voor een compliance-team. Voor kleinere bedrijven komt het er vaak gewoon naast. Juist daarom is vroeg starten belangrijk. Niet omdat het moet, maar omdat het tijd kost om het goed te regelen zonder dat de bedrijfsvoering vastloopt.
ABRO wordt daarmee geen drempel voor bedrijven die leveren aan de overheid, maar wel een filter. Mkb’ers die hun beveiliging professioneel geregeld hebben, blijven meedoen. Bedrijven die dat niet op tijd oppakken, vallen weg uit een markt die juist steeds belangrijker wordt.
