ABDO of ABRO: welke geldt voor jouw contract, en waarom je dat niet zelf bepaalt

De vraag die bijna niemand per contract stelt

Vraag een leverancier van het Rijk onder welk beveiligingsregime hij valt, en je krijgt één antwoord voor het hele bedrijf. Meestal is dat "ABRO, dat is sinds dit jaar". Dat antwoord is vaak goed, en daar zit het probleem: het is goed genoeg om niemand aan het twijfelen te brengen, en fout op precies de plekken waar het geld kost.

Want de vraag heeft geen antwoord op bedrijfsniveau. Eén onderneming kan vandaag tegelijk een contract hebben dat onder de ABDO 2019 loopt, een contract dat onder de ABRO 2026 is gegund, en een opdracht bij een opdrachtgever die nog helemaal niet is overgestapt. Die drie vragen verschillende dingen van je, en ze staan niet in je beleid maar in je contracten.

Wat er wél vaststaat

De ABRO 2026, voluit de Algemene Beveiligingseisen voor Rijksoverheidsopdrachten, geldt sinds 1 januari 2026 en vervangt een lappendeken van regimes door één set eisen voor de hele Rijksoverheid en de politie. Het Nationaal Bureau Industrieveiligheid (NBIV), sinds maart 2025 een samenwerkingsverband van de AIVD en de MIVD, toetst of een onderneming eraan voldoet. De eisen staan in vijf categorieën: bestuur en organisatie, personeel, fysiek, cyber en cloud.

En dan de zin die de rest van dit artikel verklaart, uit de Q&A van het programma Veilig inkopen van BZK: de departementen, hun diensten en agentschappen en de politie passen de ABRO vanaf 1 januari 2026 geleidelijk toe. "Zij hebben hiervoor 2 jaren de tijd; het gaat dus niet om een big bang." Met zoveel woorden staat erbij wat dat voor jou betekent: ook opdrachtnemers krijgen er geleidelijk mee te maken.

Dus hangt het af van je opdrachtgever, en die datum is openbaar

Bij de ABRO-pagina van de Rijksoverheid hangt een bijlage die nauwelijks geciteerd wordt en die je het meeste oplevert: de invoeringsdatum per inkopende organisatie in tranche 1. Daar staat per departement, agentschap en dienst wanneer die de ABRO op zijn inkoopopdrachten toepast. De versie waar dit stuk op staat is die van 27 juli 2026.

De organisaties die al om zijn, met een harde datum:

• Nationale Politie, 1 januari 2026.
• Defensie, kerndepartement en zeven organisatiedelen, 1 juli 2026. Paresto dezelfde dag.
• Algemene Zaken, kerndepartement en de Dienst Publiek en Communicatie, 1 juli 2026.
• Justitie en Veiligheid, kerndepartement en AenM, 1 juli 2026.

Alle andere regels in die tabel hebben geen datum maar een kruisje in een kwartaal, en de bijlage is daar zelf expliciet over: een concrete datum is de datum waarop een organisatie heeft aangegeven de ABRO toe te passen, "een kruisje gaat om het kwartaal waarnaar wordt gestreefd". Een streven is geen toezegging. Het kerndepartement van BZK, Logius, SSC-ICT en Rijkswaterstaat staan op 2027; Buitenlandse Zaken op het derde kwartaal van 2027.

En er is een derde categorie die je in geen enkel adviesartikel tegenkomt: regels zonder kruisje. De Dienst Justitiële Inrichtingen, het CJIB, het NFI, de NCTV, het NCSC, het Rijksvastgoedbedrijf, de Douane, DUO en het Nationaal Archief hebben in die bijlage geen datum en geen streefkwartaal. Werk je voor een van die organisaties, dan is "wij vallen nu onder de ABRO" op dit moment een aanname en geen feit.

En het hangt af van het contract, niet van het bedrijf

Dan de overgangsregel, en die citeer ik liever dan dat ik hem samenvat. De BZK-FAQ, laatst bijgewerkt op 4 juli 2026, op de vraag wat de impact van de ABRO is op lopende overheidsopdrachten:

"De ABRO heeft geen gevolgen voor lopende contracten van de Rijksoverheid en de politie. Voor huidige Defensieopdrachten waar de ABDO voor geldt, is het uitgangspunt dat de ABDO doorloopt tot het einde van het contract. Nieuwe overheidsopdrachten kunnen worden getoetst aan de ABRO."

Let op de woordkeus, want die is zorgvuldiger dan hoe het meestal wordt doorverteld. Er staat "is het uitgangspunt dat", niet "blijft gelden". En er staat "kunnen worden getoetst", niet "worden getoetst".

Het voorschrift zelf is op dat eerste punt stelliger. In het voorwoord van de ABRO 2026 staat: "Voor bestaande contracten van Defensie waarop de ABDO van toepassing zijn, blijven de ABDO gelden voor de looptijd van het contract." Geen uitgangspunt, maar blijven gelden. Dat de voorlichting voorzichtiger formuleert dan het voorschrift is op zich niet gek, de FAQ gaat over de hele Rijksoverheid en het voorwoord over Defensie, maar het betekent wel dat je het regime niet kunt afleiden en moet nakijken. Het staat in het contract zelf.

Dat is ook juridisch waar het hoort te staan. De ABRO is geen wet. De BZK-FAQ is daar onomwonden over: "ABRO is geen wettelijke maar een contractuele verplichting." Het geheel van de eisen is een bijzondere uitvoeringsvoorwaarde in de aanbesteding, en in het contract staat dat je er blijvend aan moet voldoen. Je zoekt dus niet in de Staatscourant welk regime voor jou geldt. Je zoekt het in je eigen contractmap.

Drie dingen die hieruit volgen en die vaker fout gaan

De verklaring hoort bij de opdracht, niet bij je bedrijf

Dit is de meest voorkomende misvatting, en hij zit zelfs in de zoekwoorden: mensen typen "ABRO certificering". Dat bestaat niet. De ABRO-verklaring geldt per overheidsopdracht, en de FAQ zegt het kaal: "Als de opdracht stopt, vervalt de verklaring. Voor een nieuwe opdracht is er weer een nieuwe ABRO-verklaring van het NBIV nodig." Het NBIV laat een vervallen verklaring daarbij zoveel mogelijk meewegen, maar je hebt geen certificaat in de kast liggen waarmee je de volgende aanbesteding in gaat.

De eisen gelden niet voor je hele bedrijf

Ook uit de FAQ, en dit scheelt werkelijk geld: de ABRO is "enkel van toepassing op het deel van de bedrijfsvoering van de leverancier dat direct betrokken is bij de uitvoering van een bijzondere (ABRO-)opdracht en dus niet geldt voor het gehele bedrijf en ook niet voor andere opdrachten". Dat is precies andersom dan bij de Cyberbeveiligingswet, waar een aanwijzing verplichtingen voor de hele onderneming oplevert. Wie die twee door elkaar haalt, legt zijn hele organisatie maatregelen op die voor één project bedoeld zijn.

Zonder verklaring geen contract, en tijdens de rit ook niet

De FAQ: "Zonder NBIV-verklaring kan in beginsel geen contract worden aangegaan; als deze tijdens de looptijd van een contract wordt ingetrokken, wordt het contract in beginsel ontbonden." Het NBIV toetst vóór de gunning en controleert tijdens de uitvoering. Dat maakt dit geen papieren verplichting met een jaarlijks moment, maar een voorwaarde waar je contract aan hangt zolang het loopt.

Wat je hiermee doet

1. Zet achter elk lopend contract welk regime erin staat. Per contract, niet per klant. Het staat in het contract als bijzondere uitvoeringsvoorwaarde, niet in een beleidsstuk en niet in een mail van je accountmanager. Bij twijfel is de contractmanager van je opdrachtgever de bron, niet een adviesblog.
2. Kijk bij elke nieuwe aanbesteding de invoeringsdatum van díe opdrachtgever na. In de bijlage bij Rijksoverheid.nl/ABRO, en let op de versiedatum: die lijst wordt bijgewerkt. Een kruisje is een streefkwartaal, een lege regel is nog niets.
3. Baken af welk deel van je bedrijf de opdracht uitvoert. Dat is de scope van de ABRO en daarmee van je investering. Doe je dat niet, dan groeit het ongemerkt naar de hele organisatie, en dat is een kostenpost die niemand heeft besloten.
4. Reken erop dat de verklaring met de opdracht verdwijnt. Plan de volgende aanvraag als onderdeel van je biedproces, niet als nasleep van het vorige project.
5. Zet er één eigenaar op, met een datum waarop het klopte. Contractbeheer of bid management, niet security erbij. Dit is administratie met een aansprakelijkheid eraan vast, en die hoort bij degene die de contracten kent.

Waar dit volgens mij naartoe gaat

Dit is mijn verwachting en geen cijfer. De invoering loopt door tot eind 2027, en het kabinet wil dat ook zbo's, provincies, gemeenten, waterschappen en energiebedrijven de ABRO gaan toepassen; besluitvorming daarover moet nog komen. Gebeurt dat, dan verschuift dit van een Defensievraagstuk naar iets waar een gewone ICT-leverancier of bouwer mee te maken krijgt bij een gemeente.

De bijlage met invoeringsdata is daarmee geen eenmalige mededeling maar een document dat je jaarlijks opnieuw moet lezen. Dat is een saaie conclusie, en het is de enige die standhoudt.

Veelgestelde vragen

Is de ABRO een wet?

Nee. De BZK-FAQ zegt het letterlijk: "ABRO is geen wettelijke maar een contractuele verplichting." De eisen worden contractueel vastgelegd tussen opdrachtgever en opdrachtnemer als bijzondere uitvoeringsvoorwaarde. Het onderzoek dat het NBIV doet heeft wel een wettelijke grondslag, in de Wet op de inlichtingen- en veiligheidsdiensten 2017 en de Wet veiligheidsonderzoeken.

Wat is het verschil tussen de ABDO en de ABRO?

De ABDO 2019, Algemene Beveiligingseisen voor Defensieopdrachten, gold voor opdrachten van Defensie. De ABRO 2026 geldt voor de hele Rijksoverheid en de politie, en vervangt de ABDO voor nieuwe opdrachten. Let op het jaartal: ABDO 2019 en ABRO 2026. Een "ABDO 2026" bestaat niet, en je komt die term online wel tegen.

Geldt de ABRO voor mijn hele bedrijf?

Nee, alleen voor het deel van de bedrijfsvoering dat direct betrokken is bij de uitvoering van de bijzondere opdracht, niet voor het hele bedrijf en niet voor andere opdrachten. Dat afbakenen is een van de eerste dingen die je doet, want het bepaalt de omvang van alles wat erna komt.

Wij vallen al onder de Cyberbeveiligingswet. Scheelt dat?

Ze conflicteren niet en ze vervangen elkaar niet. De Cyberbeveiligingswet, de Nederlandse NIS2-implementatie, geldt voor de hele onderneming zodra je als belangrijke of essentiële entiteit bent aangewezen, en gaat over cyberbeveiliging. De ABRO geldt alleen op de bijzondere opdracht en is integraal: ook bestuur, personeel en fysieke beveiliging. Volgens BZK kennen ze een aantal verplichtingen die op elkaar lijken en conflicteren die niet.

Wij hebben ISO 27001. Telt dat mee?

Het helpt, maar het volstaat niet. De FAQ stelt dat bestaande certificaten of beveiligingsverklaringen kunnen helpen om sneller te controleren of je aan de ABRO-eisen voldoet. Bij het niveau TBB 4 is er enige overlap met de ISO 27002 en de BIO 2, maar BZK tekent erbij aan dat ISO en BIO generieker zijn geformuleerd en de ABRO-eisen specifieker.

Onze opdrachtgever heeft nog geen invoeringsdatum. Moeten we dan iets?

Voor dat contract verandert er nu niets, en vooruitlopen op een regime dat nog niet geldt is zelden verstandig. Wat wel verstandig is: weten dat het eraan komt, en bij de eerstvolgende verlenging of nieuwe aanbesteding ernaar vragen. De omschakeling zit in nieuwe contracten, en een verlenging is er meestal een.

Verder lezen

• Rijksoverheid: Beveiligingseisen bij overheidsopdrachten (ABRO)
• BZK: Q&A's over de ABRO
• BZK: invoeringsdatum en geplande invoering ABRO, tranche 1
• RVO: ABRO-beveiligingseisen voor ondernemers
• CyberBusters: ABRO 2026 & ABDO-begeleiding
• CyberBusters: je weerbaarheid hangt af van een leverancier die je niet beheerst