ABRO-regeling in de praktijk: dit moet je weten
Vanaf 1 januari 2026 geldt één pakket met strengere beveiligingseisen voor bepaalde opdrachten van de Rijksoverheid en de politie. Dit geldt voor opdrachten waarbij risico’s zijn voor de nationale veiligheid. Dat zijn de Algemene Beveiligingseisen voor Rijksoverheidsopdrachten (ABRO). In ons eerdere artikel (opent in nieuw tabblad) lees je wat de ABRO is en welke organisaties ermee te maken krijgen. Hieronder lees je wat dit in de praktijk betekent.
De ABRO geldt alleen voor opdrachten waarbij risico’s zijn voor de nationale veiligheid. Bijvoorbeeld bij werkzaamheden met gevoelige informatie of op bijzondere locaties. De opdrachtgever kijkt eerst of deze risico’s op een andere, minder zware manier kunnen worden beperkt. Als dat niet of niet voldoende kan, zijn de beveiligingsmaatregelen van de ABRO verplicht.
Beveiligingsniveaus en eisen
De ABRO kent vier beveiligingsniveaus (TBB’s). Hoe hoger het niveau, hoe strenger de beveiligingseisen. De meeste opdrachten vallen onder TBB 4 (Departementaal Vertrouwelijk).
Daarnaast bestaat de ABRO uit vijf hoofdstukken. Deze gaan over:
- bestuur en organisatie (hoofdstuk 1);
- personeel (hoofdstuk 2);
- fysieke beveiliging (hoofdstuk 3);
- cyberbeveiliging (hoofdstuk 4);
- gebruik van clouddiensten (hoofdstuk 5).
De hoofdstukken 1 en 2 gelden voor iedere ABRO-opdracht. Of de andere hoofdstukken van toepassing zijn, hangt af van het soort opdracht. Voor opdrachten met staatsgeheime informatie gelden strengere beveiligingseisen.
Wat wordt van bedrijven verwacht?
Om in aanmerking te komen voor een ABRO-opdracht moeten bedrijven voldoen aan de ABRO-eisen. Welke eisen gelden, hangt af van de opdracht en het bijbehorende beveiligingsniveau.
Het Nationaal Bureau Industrieveiligheid (NBIV) onderzoekt of een bedrijf aan deze eisen voldoet. Dit onderzoek vindt plaats bij het bedrijf zelf.
Een onderdeel van de eisen voor personele beveiliging (hoofdstuk 2) is dat medewerkers die aan een ABRO-opdracht werken, een Verklaring Omtrent het Gedrag (VOG) nodig hebben bij TBB 4 of een Verklaring van Geen Bezwaar (VGB) vanaf TBB 3. In bepaalde gevallen kan een VGB opnieuw worden gebruikt voor een andere ABRO-opdracht. Ook wordt onderzocht of een VOG binnen ABRO-opdrachten meerdere keren kan worden gebruikt.
Ron Nulkes, programmadirecteur Veilig inkopen (ABRO), legt uit: “De Rijksoverheid voert de ABRO in vanaf januari 2026. Organisaties krijgen twee jaar de tijd om hiermee te werken. De startdatum verschilt daardoor per organisatie. In 2026 en 2027 wordt de ABRO ingevoerd bij de ministeries, hun diensten en agentschappen en bij de politie. Het kabinet wil dat ook andere overheidsorganisaties en bedrijven met de ABRO gaan werken. Bijvoorbeeld zelfstandige bestuursorganen (zbo’s), provincies, gemeenten, waterschappen en energiebedrijven. Daarvoor is nog wel een besluit nodig.”
Onderzoek door het NBIV
Het Nationaal Bureau Industrieveiligheid (NBIV) onderzoekt of een bedrijf aan de ABRO voldoet en geeft hierover advies aan de aanbestedende dienst. Het NBIV-onderzoek duurt gemiddeld drie tot negen maanden. Dit is onder meer afhankelijk van de van toepassing zijnde beveiligingseisen, hoeveel beveiligingsmaatregelen het onderzochte bedrijf al getroffen heeft, hoe snel bijvoorbeeld fysieke beveiligingsmaatregelen gebouwd kunnen worden, en of het onderzochte bedrijf al eerder een ABRO- (of ABDO) onderzoek heeft ondergaan. Voldoet een bedrijf aan de gestelde beveiligingseisen, dan ontvangt de opdrachtgever van NBIV een ABRO-verklaring. De opdrachtgever mag alleen overgaan tot definitief contracteren van een ABRO-opdracht als NBIV een ABRO-verklaring heeft gegeven.
Blijvend voldoen aan ABRO in het contract
Het blijvend voldoen aan de gestelde ABRO-beveiligingseisen wordt in het contract opgenomen. NBIV controleert tijdens de looptijd van de opdracht op naleving van de ABRO-eisen. Als een bedrijf niet meer volledig voldoet, kan de ABRO-verklaring worden ingetrokken. Dan kan de opdrachtgever de opdracht beëindigen.
Denk ook aan onderaannemers
Ook onderaannemers kunnen onder de ABRO vallen. Kunnen zij tijdens hun werk in aanraking komen met TBB’s? Dan moet de hoofdaannemer of opdrachtnemer hen vooraf aanmelden bij het NBIV. Onderaannemers mogen pas kennisnemen van TBB’s als het NBIV een ABRO-verklaring voor hen heeft afgegeven. Ook daarna moeten zij blijven voldoen aan de eisen van de ABRO.
Wat betekent dit voor NBBU-leden?
Lever je personeel aan de Rijksoverheid of de politie? Bespreek dan op tijd met je opdrachtgever of de ABRO van toepassing is. Het voldoen aan ABRO-beveiligingseisen en het NBIV-onderzoek hiernaar kosten tijd. Door je tijdig voor te bereiden, voorkom je vertraging bij opdrachten en aanbestedingen.
*Lopende contracten worden met de komst van ABRO niet aangepast.
ABRO voor zzp’er en inleners
Voor ZZP-ers geldt in bepaalde gevallen dat zij alleen een VOG of VGB nodig hebben voor een ABRO-opdracht. Inleners zullen bij een ABRO-opdracht in de meeste gevallen aan hoofdstuk 1 en 2 van ABRO moeten voldoen. Bedrijven die al werken volgens normen zoals ISO 27001 of al ervaring hebben met de ABDO zijn vaak sneller voorbereid.
Meer informatie over de ABRO vind je op de website (opent in nieuw tabblad) van de Rijksoverheid.
Experts op dit onderwerp
