Kabinet NL voert regels in voor bedrijven die werken met gevoelige overheidsinfo

Het Nederlandse kabinet voert per 1 januari nieuwe regels in voor bedrijven die overheidsopdrachten met 'nationale veiligheidsbelangen' uitvoeren. De eisen worden vastgelegd in de Algemene Beveiligingseisen voor Rijksoverheidsopdrachten.

Het kabinet ging op 21 november akkoord met de nieuwe eisen in de ABRO, schrijven minister van Binnenlandse Zaken Frank Rijkaart en minister van Defensie Ruben Brekelmans in een brief aan de Tweede Kamer. In 2026 en 2027 beginnen ministeries en de politie met het opnemen van de beveiligingseisen. De ingangsdatum verschilt volgens de overheid per organisatie. Uiteindelijk wil het kabinet de regelgeving uitbreiden naar onder meer zelfstandige bestuursorganen, decentrale overheden en bedrijven uit vitale sectoren.

De nieuwe eisen gelden als reactie op de groeiende dreiging voor de veiligheid in Nederland. De overheid schrijft dat die veiligheid onder meer wordt bedreigd door cyberaanvallen, spionage en sabotage van onder meer stroom- en internetkabels. De eisen zijn gebaseerd op de Algemene Beveiligingseisen voor Defensieopdrachten uit 2019. Daarin staat onder meer dat bedrijven die overheidsopdrachten uitvoeren benoemingen van niet-Nederlandse bestuurders aan de Nederlandse Militaire Inlichtingen- en Veiligheidsdienst moeten melden en dat bedrijven een cyberbeveiligingsfunctionaris moeten hebben die namens de directie cybersecuritymaatregelen mag nemen.

Als een bedrijf in opdracht van de overheid werkzaamheden uitvoert die risico's kunnen opleveren voor de nationale veiligheid, doet het Nationaal Bureau Industrieveiligheid eerst onderzoek naar het bedrijf. In het NBIV werken de Algemene Inlichtingen- en Veiligheidsdienst en de Militaire Inlichtingen- en Veiligheidsdienst samen. Zij onderzoeken onder meer het bestuur en de organisatie, de medewerkers en de veiligheid van de informatie in systemen en netwerken.

Update, 23.06 uur – In het artikel stond aanvankelijk dat de Algemene Beveiligingseisen voor Defensieopdrachten in 2019 zijn ingevoerd, maar dat is onjuist. De eisen zijn voor het laatst in 2019 herzien. Het artikel is hierop aangepast.

Reacties (29)

[HermyH]

ABDO bestaat al veel langer dan 2019, het is herzien in 2019, daarvoor had je ABDO 2006. Als je werkt met gerubriceerde data kun je er mee te maken krijgen. In de wereld van defensie opdrachten is dit niks nieuws, het wordt zo te zien nu wat breder uitgerold.

[Imre Himmelbauer]

Fair point. Ik ga het artikel aanpassen.

[RRRobert]

E.e.a. komt toch wel enigszins hypocriet over, als je je realiseert hoe diezelfde Nederlandse overheid nog zo afhankelijk is van Amerikaanse cloud diensten, Office suites, etc. Dat doen ze bij onze oosterburen toch wel wat slimmer.

[Tweakez]

Dat dien ze daar inderdaad slimmer, maar je wilt niet weten wat voor IT organisatie je nodig hebt

[NoTechSupport]

Wij hadden 10 jaar geleden in een bedrijf met duizenden werknemers alles on prem, nu hebben we alles in de cloud. Er werkt geen werknemer minder binnen IT en we doen niet meer ofzo, we klikken in Exchange, SharePoint etc op een knop die uiteindelijk een machine van MS aanstuurt ipv een die we bezitten.

[Tweakez]

Klinkt cool! Nu nog alles zoals d3 echte situatie in Duitsland, alles opensource in plaats van simpel Microsoft 365.


Ik snap inderdaad dat met jou verhaal je Iat team niet veranderd is, maar volgens mij is Open Source beheren heel wat meer moeite dan een microsoft product.

[TRS-3]

Ik denk dat @NoTechSupport juist wil aangeven dat de IT-organisatie ten opzichte van "on premise" ook niet kleiner is geworden sinds alles naar de marktleiders in de cloud is verplaatst?

Open source heeft niet altijd een goede naam, maar vormt wel de basis voor veel commerciële producten en de marketing van die marktleiders is natuurlijk ook een stuk sterker dan de open source tegenhangers...

Zo werd op een grote onderwijsinstelling de overgang naar Google for Education ook verkocht als enorme besparing ten opzichte van "on premise". In de praktijk gold daar hetzelfde als de ervaring van @NoTechSupport: er werkt geen IT-er minder aan dezelfde diensten. Zelfs de hardware moest grotendeels blijven staan als koppelvlak, en een paar jaar later moesten er ineens fikse licentiekosten worden betaald.

Dus nog even afgezien van de strategische weerbaarheid is ook de economische afhankelijkheid een ding. Aangezien je dat publieke geld maar een keer uit kunt geven, kan het best een goed idee zijn om dat (in elk geval server side) met producten te doen waar je wel wat over te zeggen hebt.

[Tweakez]

Ja en ik doel op het feit dat onze zuiderburen onafhankelijk van Microsoft zijn geworden. het beheren en afhankelijk zijn van bijvoorbeeld het 365 platform is wat anders dan volledig linux en OpenXchange te gaan beheren/supporten ergo mijn opmerking dat de IT organisatie daar heel anders is. Nee dan gaat @NoTechSupport en jij @TRS-3 het over het 365 platform hebben, waar je "met een klik" microsoft iets kunt laten doen.

Da's wat anders dan OpenXChange, linux et cetera.

[TRS-3]

Juist dat "met een klik" is waar ik een nuance bij wilde plaatsen - dat klinkt allemaal leuk in marketingland, maar in de praktijk kost dat dus niet minder menskracht dan het zelf hosten.

En ik weet uiteraard niet welke ervaring je zelf hebt in grote datacenters, maar mijn ervaring is dat met name storage meestal op een *IX variant loopt, virtualisatie prima op open source draait en dat dat ook geldt voor grote applicaties als databases.

Dat aan de gebruikerskant Linux als desktop niet zo poplair is als Windows of MacOS betekent niet dat er meer mensen nodig zijn voor het beheren van een back-end dat minder afhankelijk is van geopolitieke nukken. Je hebt vooral het besef nodig dat je voor je strategische gegevens en communicatie niet afhankelijk wilt zijn van een mogelijk vijandig buitenland. En ik denk dat je daar misschien wel andere kennis voor nodig hebt, maar niet per se veel meer mensen.

[rko4u]

Ik mag hopen dat het niet zo is als het klinkt. Want als je medewerkers ongecontroleerd machines en cloud services opspinnen, hoe waarborg je dan de veiligheid? Daarnaast, hoe komen ze aan hun lokale devices zonder IT afdeling?

[elmuerte]

Daar gaat de ABDO geen verandering in brengen. Want als er geen aanbesteding gedaan hoeft te worden gaat het niet op. En voor een Microsoft ecosysteem is er maar 1 leverancier: Microsoft.

[rko4u]

Volgen mij is dat ook al niet meer volledig waar. Er zijn reeds mogelijkheden om (een deel van) de Microsoft diensten on premise te draaien. Dat kan dus ook bij een private hoster.

https://azure.microsoft.com/en-gb/products/local

[Immutable]

Afdwingen dat die diensten open source moeten zijn. Iig ter inzage van de overheid.

[SnowyLeopard]

Goed, maar heel eerlijk, beetje te laat…

[Ryunoru]

Beetje te laat, maar heel eerlijk, beter laat dan nooit...

[R_Zwart]

Bij jou op het werk was natuurlijk alles ingeregeld voordat het bedrijf begon. Maar elders is het toch altijd “al doende leert men”.

[kodak]

Waaruit valt volgens jou dan op te maken dat er niet veel eerder geleerd kon worden? Het is namelijk niet nieuw dat er eisen zijn om zeer zorgvuldig met gevoelige overheidsinfo om te gaan. En het is ook niet dat het nogal een risico is als je die gegevens laat verwerken die vooral een eigen commercieel belang hebben.

[michielRB]

Veel te laat, nu DigID en 'mijn overheid' al verkocht zijn...

[SniperEye]

Dit is erop gericht om in de toekomst nog meer uit te besteden. Juist op het al maar uitbesteden is een hoop kritiek. De belangrijkste is dat kennis van zaken wegvloeit bij de overheid en naar het bedrijfsleven vloeit

Daarnaast lopen kosten niet zelden uit de hand. Ooit stond de Nederlandse belastingdienst internationaal bekend als zeer vooraanstaand. Nu piepen en kraken de systemen.

Wat ook meespeelt is dat door uitbesteding mensen overheidswerk uitvoeren maar niet onder de cao van rijksambtenaren vallen. Defacto concurreer je daarmee met arbeidsvoorwaarden wat het vaak voor betrokken mensen er niet beter op maakt.

Tot slot gaan die bedrijven als het ware opereren als zijnde overheid waardoor er een soort geprivatiseerde overheid ontstaat. Immers moeten zij voldoen aan de standaarden van de overheid.

Hoe het tij gekeerd kan worden weet ik niet, daar heb ik geen oplossing voor bedacht.

[R_Zwart]

Dit heeft niets met uitbesteden te maken, maar geen enkele organisatie kan alles in-house doen. Iedereen heeft leveranciers nodig. Zelfs als je al je it on-prem doet moet je dingen inkopen. Om te beginnen de hardware maar ook allerlei software tooling.

[n4m3l355]

Het bijzondere is voor mij als buitenstaander dat hoewel er budgetten zijn, men blijkbaar personeel kan krimpen en tegelijkertijd meer kan uitgeven aan externen. Ik geloof er niet in dat een overheid als een bedrijf gestuurd kan worden, maar tegelijkertijd als ik kijk met mijn beperkte ervaring van een half jaartje bij een gemeente gewerkt te hebben, geloof ik heel graag dat het best anders/beter kan. De afdeling waar ik zat was (bouw en brandveiligheid) was het haast crimineel hoe laks men omging met de uren, personeels inzet en algemeen toezicht. En dat weerhield ze toch er niet van om bovensporig vaak ziek te zijn en alsnog te klagen over hoe "druk" ze het hadden. Dat ze vaak pas ruim na 10 uur kwamen opdagen, lange lunches namen, en zelden tot 5 daar waren daar lag het natuurlijk niet aan.

Nogmaals, ik weet het ook niet, maar voor mijn gevoel kan het veel beter dan nu, en dit is ook nodig, niet alleen om kosten onder controle te houden maar ook om de burger niet het beeld te geven dat het een berg luie papierschuivers zijn.

[Pasteis]

Ik denk niet dat dit het doel is, maar ik wil toch even inhaken op je reactie. Ik ben het op zijn eerste plaats met je eens hoor dat teveel op externe en uitbesteding leunt. Dat ga je deels alleen oplossen door capabele beleidsmakers en managers aan te stellen die ook streng zijn op wat ze van externen en uitbestede partijen mogen verwachten. Er wordt namelijk zo weinig kennis gedeeld en vastgelegd die geborgd wordt binnen de overheid. Daarnaast kan de overheid wel een maatje minder door te investeren in goed gemotiveerd en opgeleid personeel met een gevoel van ownership. Ik zie te weinig goede business cases die ook financieel op het eerste oog goed lijken uit te komen. Ook moet het lonen als je als afdeling of unit goed doet en geld bespaard.

ik ben niet tegen op uitbesteden of externe inhuur, maar ik vind dat er echt weinig goede randvoorwaarden gesteld worden. Veel consultancybedrijven profiteren na verhouding er veel meer van dan onze eigen overheid.

[sircampalot]

Datzelfde zie je al jaren bij RWS.
Het was ooit een organisatie met veel know-how, nu het is het project management club geworden, niet geremd door enige kennis van zaken.

[Diigii]

Zit al een geruime tijd te wachten op de ABRO, super dat ze uiteindelijk akkoord zijn gegaan met de nieuwe eisen. Een aantal zaken hadden zeker de benodigde aandacht nodig (ten opzichte van de ABDO 2019). Ik zie vooral uit naar de wijzigingen omtrent de Cloud, dat is één van de zaken waar het erop lijkt dat hier meer mogelijkheden voor gaan komen.

Zodra het officieel gepubliceerd is maar de tanden erin zetten :)

[FrostyPeet]

De bedrijven zullen die verplichtingen vast wel doorberekenen in hun prijs naar de overheid. Extra risico moet je afdekken als je als bedrijf winst wilt maken. Met zo'n NDA op steroïden maak je je wel heel afhankelijk. De overheid is een late betaler, hoop procedures, niet altijd even betrouwbaar gebleken in het verleden. Overigens vraag ik mij af of zo'n opgelegde set regels iets uitmaakt voor de grote internationale spelers. Die zullen vast wel onderhandelen over de afspraken voor ze hun nek in de (potentiële) strop steken.

[oks]

Eh waar heel je deze hele stapel aannames vandaan? Definieer eens de overheid? Ik ken talloze bedrijven die heel graag een dergelijk relatie met 'de overheid' willen hebben. Het is stabiel, betrouwbaar als je geen domme dingen doet en door de hoepels heen bent. Dus hoezo zouden die bedrijven hun prijzen omhoog gooien? Ze zijn wel gek, een stabiel inkomen. En trouwens jij betaald belastingen. Dus die aanname zo maar doen betekend dat jij meer belastingen zou moeten betalen. Heb je enig idee van de instituties die zorgen dat Nederland draaien zodat je zo makkelijk een mening kan neerpennen? Maw weet je eigenlijk waar je het over hebt? Het is heel makkelijk kritiek te hebben op degene die je qua contact en emotie het dichtst bij staat en meest mee te maken hebt. Het is zo jammer dat we dat niet eens doen met de netflixen, googles, apples, meta's van deze wereld die wel je hele leven downloaden -privé en professioneel- en waar je nog geen seconde de vraag stelt of de prijsstelling klopt voor de diensten die ze vragen of wat ze met je digitale leven aan het doen zijn.

[FrostyPeet]

.

[Reactie gewijzigd door FrostyPeet op 30 november 2025 18:10]

[Kiswum]

Wil dit dan ook zeggen dat er gekeken moet worden naar een DigiD tegenhanger, zodat je veilig kan blijven inloggen op overheidsites?

Meer info over de Amerikaans overname van "DigiD": nieuws: Nederlands kabinet onderzoekt overname cloudfirma Solvinity door bedr...

[Aetje]

Ik vraag me af of dit ook voor subcontractors gaat gelden. Grote telecomboer A besteed beheer uit aan goedkopelonenlandpartij B. Gaat partij B ook aan de ABRO moeten voldoen? Zo ja, gaat dat voor partijen als Cognizant en Techmahindra grote gevolgen hebben.