ABRO: nieuwe eisen bij overheidsopdrachten met risico’s nationale veiligheid

De ABRO 2026 is de opvolger van de ABDO 2019 en kan relevant zijn voor bedrijven in uiteenlopende sectoren: van bouwbedrijven en ICT-leveranciers tot schoonmaak- en transportdiensten.

Van ABDO naar ABRO

Het introduceren van de ABRO (Algemene Beveiligingseisen voor Rijksoverheidsopdrachten) komt tegemoet aan de behoefte aan uniforme beveiligingseisen die de overheid hanteert. Met de komst van ABRO is er één eenduidig systeem van samenhangende beveiligingseisen dat wordt toegepast bij overheidsopdrachten met een risico voor de nationale veiligheid. ABRO is een doorontwikkeling en actualisering van de ABDO 2019, die het ministerie van Defensie gebruikt.

Het wordt gefaseerd en in tranches ingevoerd. In de eerste tranche zitten de ministeries, de hieronder vallende diensten en agentschappen, en de politie. Zij hebben vanaf 1 januari 2026 2 jaar de tijd om ABRO te gaan toepassen. Defensie gaat ABRO ook gebruiken: vanaf 1 juli bij nieuwe contracten. Voor lopende contracten van Defensie blijven de Algemene Beveiligingseisen voor Defensieopdrachten (ABDO) gelden.

In de opvolgende tranches zitten organisaties zoals de zelfstandige bestuursorganen, decentrale overheden (provincies, gemeenten, waterschappen), bedrijven uit de vitale sector, kennisinstellingen en Hoge Colleges van Staat (zoals de Eerste en Tweede Kamer, Raad van State, Algemene Rekenkamer en de Nationale Ombudsman). Besluitvorming voor deze opvolgende tranches moet nog plaatsvinden.

Als de opdrachtgever bij een inkoopbehoefte risico’s voor de nationale veiligheid ziet, moet hij zich buigen over maatregelen die hij zelf kan nemen om deze risico’s te beperken. Is dat niet of niet voldoende mogelijk, past hij de ABRO toe en worden de voor deze opdracht van toepassing zijnde ABRO-beveiligingseisen als bijzondere uitvoeringsvoorwaarde geëist van een opdrachtnemer.

ABRO-onderzoek door NBIV

Voorafgaand aan definitief contracteren zal de opdrachtgever aan het Nationaal Bureau Industrieveiligheid (NBIV) vragen om een ABRO-onderzoek uit te voeren bij de beoogd winnaar van een aanbestedingstraject. Hiervoor bezoekt het NBIV het bedrijf. Als deze ondernemer aan alle voor deze opdracht gestelde beveiligingseisen voldoet, geeft het NBIV een ABRO-verklaring af aan de opdrachtgever. Een ABRO-verklaring onder voorwaarden is ook mogelijk. Dan krijgt de beoogd winnaar een beperkte termijn om ook aan de enkele nog resterende openstaande beveiligingseisen te voldoen.

Het onderzoek door het NBIV duurt gemiddeld 3 tot 9 maanden. De doorlooptijd is onder meer afhankelijk van het gevraagde beveiligingsniveau (een hoger niveau vraagt meer maatregelen), en van de specifieke situatie bij het bedrijf. Zijn relevante beveiligingsmaatregelen al genomen en het bedrijf en de medewerkers zijn reeds bekend bij NBIV, bijvoorbeeld in verband met een eerdere ABDO- of ABRO-opdracht, dan kan het NBIV-onderzoek mogelijk sneller afgerond zijn. ABRO is mede gebaseerd op normen die ook gehanteerd worden in bestaande certificeringen, zoals ISO 27001.

Een ABRO-verklaring is geen algemene certificering, maar een opdrachtgebonden advies van het NBIV aan de opdrachtgever dat uw bedrijf voor die specifieke opdracht aan de gestelde ABRO-beveiligingseisen voldoet. De opdrachtgever mag overgaan tot definitief contracteren als er een ABRO-verklaring aanwezig is.

Het blijvend moeten voldoen aan alle gestelde ABRO-beveiligingseisen wordt in het contract opgenomen. Tijdens de uitvoering van de opdracht ziet NBIV toe op naleving door de opdrachtnemer van de ABRO-beveiligingseisen. Als deze hieraan niet meer volledig voldoet, dan kan het NBIV de ABRO-verklaring intrekken. Dan kan de opdrachtgever op zijn beurt de opdracht beëindigen.

Niveaus en hoofdstukken

ABRO kent 5 hoofdstukken, en per hoofdstuk zijn 4 beveiligingsniveaus aanwezig, met per niveau een eigen set aan beveiligingseisen:

TBB 1 – Staatsgeheim Zeer Geheim T

TBB 2 – Staatsgeheim Geheim

TBB 3 – Staatsgeheim Confidentieel

TBB 4 – Departementaal Vertrouwelijk

De 5 hoofdstukken hebben betrekking op

1. Bestuur en Organisatie
2. Personeel
3. Fysiek
4. Cyber
5. Cloud (nieuw ten opzichte van ABDO)

De hoofdstukken ‘Bestuur en Organisatie’ en ‘Personeel’ zijn op iedere ABRO-opdracht van toepassing. Afhankelijk van de aard van de opdracht komen daar fysieke beveiliging, cyberbeveiliging en cloudbeveiligingseisen bij. Ten opzichte van de onderwerpen in de ABDO is cloudbeveiliging nieuw. Werken aan een ABRO-opdracht met toepassing van cloud-techniek is alleen mogelijk bij het beveiligingsniveau TBB4/Departementaal Vertrouwelijk. Geldt TBB 3, 2 of 1, dan is werken in de publieke Cloud niet toegestaan.

Beveiligingseisen onderaannemers

Indien een opdrachtnemer aan een ABRO-opdracht werkt met onderaannemers, en die onderaannemers komen ook in contact met TBB’s, dan geldt de ABRO ook voor deze onderaannemers. De opdrachtnemer moet dergelijke onderaannemers aanmelden, zodat ook zij door het NBIV gescreend kunnen worden, voorafgaand aan hun inzet op de ABRO-opdracht.

Kosten en voorbereiding

Als opdrachtnemer betaalt u niet voor het NBIV-onderzoek voor een ABRO-verklaring.

Maar de investeringen om aan de ABRO-beveiligingseisen te voldoen, zijn wel voor rekening van uw bedrijf. De investering hangt af van het soort opdracht en welke beveiligingsmaatregelen al aanwezig zijn. De kosten voor het aanvragen van een VGB of VOG zijn voor de opdrachtnemer. Er wordt gewerkt aan stroomlijningsafspraken om de VGB voor vergelijkbare vertrouwensfuncties met hetzelfde screeningsniveau bij bedrijven te kunnen hergebruiken. Ook wordt in deze context geprobeerd hergebruik van een VOG mogelijk te maken.

Voor actuele informatie kijk op Rijksoverheid.nl/ABRO.