Overheid en Politie scherpen beveiligingseisen voor IT-opdrachten aan
Met de inwerkingtreding van de Algemene Beveiligingseisen voor Rijksoverheidsopdrachten (ABRO 2026) hanteren de gehele Rijksoverheid en de Politie voor het eerst één uniform beveiligingsregime. Dat meldt branchevereniging NLdigital in een analyse van juristen Paula Hooyman en Floris Visser en Public Policy Manager Dirk van Roode. De nieuwe standaard vervangt de oude ABDO 2019, die uitsluitend gold voor Defensie.
ABRO 2026 is geen wetgeving, maar een contractuele eis bij opdrachten die raken aan de nationale veiligheid (zogeheten 'Bijzondere opdrachten'), zo meldt het drietal in een artikel op LinkedIn. Het niet voldoen aan de eisen kan leiden tot uitsluiting van opdrachten. Nieuwe opdrachten onder reeds lopende raamovereenkomsten vallen eveneens onder het nieuwe regime. Het Nationaal Bureau Industrieveiligheid (NBIV) bepaalt vooraf welke van de vijf hoofdstukken – Bestuur, Personeel, Fysiek, Cyber en Cloud – van toepassing zijn.
De regeling heeft grote impact op IT-leveranciers. Het nieuwe cloudhoofdstuk staat het gebruik van clouddiensten toe tot niveau 'Departementaal VERTROUWELIJK', maar stelt strenge eisen zoals dataresidentie binnen Nederland of de EER en sleutelbeheer buiten de cloudleverancier om. Vanaf risiconiveau TBB 3 is beheer op afstand (zoals remote managed services) niet toegestaan.
NLdigital ziet de uniformering als een logische stap, maar waarschuwt voor de gevolgen. Voor MKB-leveranciers is de administratieve en organisatorische druk hoog, wat de toegang tot overheidsopdrachten kan belemmeren. Internationale en wereldwijde spelers moeten hun IT-architectuur en governance mogelijk ingrijpend aanpassen om aan de strikte autonomie- en keteneisen te voldoen.
Meer over rijksoverheid
Over Witold Kepinski
