De ABRO (Algemene Beveiligingseisen voor Rijksoverheidsopdrachten) is één vaste set beveiligingseisen voor opdrachten van de Rijksoverheid en de politie die de nationale veiligheid raken. Sinds 1 januari 2026 voeren ministeries, hun diensten, agentschappen en de politie de ABRO stap voor stap in. Valt jouw opdracht eronder? Dan mag je pas starten als het Nationaal Bureau Industrieveiligheid (NBIV) een positieve ABRO-verklaring afgeeft.
In dit artikel lees je wanneer de ABRO geldt, welke eisen erin staan en hoe je je als inschrijver voorbereidt. Zo voorkom je dat een kansrijke tender alsnog strandt op beveiliging.
Wat is de ABRO en waarom bestaat die?
Bij sommige overheidsopdrachten krijgt een leverancier toegang tot gevoelige informatie, systemen of gebouwen. Denk aan staatsgeheimen, vertrouwelijke dossiers of een datacenter. Daar liggen risico’s zoals spionage, sabotage, datalekken en cyberaanvallen.
De ABRO beperkt die risico’s met uniforme eisen voor bedrijven. Het maakt daardoor niet uit of je werkt voor een ministerie, een agentschap of de politie: je krijgt met dezelfde eisen te maken. Ook controleert één organisatie of je eraan voldoet, namelijk het NBIV.
De ABRO is een doorontwikkeling van de ABDO 2019, de Algemene Beveiligingseisen voor Defensieopdrachten. Defensie werkte al jaren met dat systeem. De ABRO trekt die aanpak door naar de bredere Rijksoverheid.
Achtergrond: het juridische kader
De ABRO is geen aparte wet. Voor ministeries, hun diensten en agentschappen staat de werkwijze in het Kaderbesluit ABRO rijksdienst. Met de politie is een convenant gesloten. De eisen zelf staan in het voorschrift ABRO 2026. De gewone aanbestedingsregels uit de Aanbestedingswet 2012 blijven daarnaast gewoon gelden. Bij defensie- en veiligheidsgevoelige opdrachten kan ook de Aanbestedingswet op defensie- en veiligheidsgebied (ADV) van toepassing zijn.
Voor wie is de ABRO relevant?
De ABRO raakt veel meer bedrijven dan alleen defensieleveranciers. Het gaat om iedereen die bij een gevoelige opdracht in aanraking komt met informatie, locaties of systemen. Volgens de Rijksoverheid gaat het onder meer om:
- ICT-bedrijven, zoals cloudproviders, softwareontwikkelaars en telecomaanbieders
- Dienstverleners, zoals schoonmakers, beveiligers, consultants, vertaalbureaus en cateraars
- Bouwbedrijven, architecten en installateurs
- Bedrijven die werken met radar, crypto, wapensystemen, persoonsgegevens of datacenters
Ook onderaannemers en ketenpartners die direct of indirect bij de opdracht betrokken zijn, kunnen onder de ABRO vallen. Voor tendermanagers en bidmanagers is de ABRO daarom een vast aandachtspunt bij de go/no-go.
Wanneer geldt de ABRO bij een opdracht?
De opdrachtgever analyseert eerst het risico
Niet elke Rijksoverheidsopdracht valt onder de ABRO. De inkopende organisatie onderzoekt eerst of een opdracht risico’s voor de nationale veiligheid oplevert. Daarna probeert zij die risico’s zelf te beperken met eigen maatregelen. Blijft er dan nog een risico over? Pas dan past zij de ABRO toe. Zo’n opdracht heet een Bijzondere Opdracht.
Signalen dat het om een Bijzondere Opdracht gaat
Je herkent een mogelijke ABRO-opdracht vaak aan de aard van het werk:
- De opdrachtgever deelt gevoelige informatie, zoals vertrouwelijke documenten, persoonsgegevens of reisgegevens van medewerkers
- Je werkt op een bijzondere locatie, zoals een datacenter of security operations center
- Je levert of beheert software en systemen waarop gevoelige informatie draait
- Je werkt in of aan bijzondere gebouwen, zoals een detentiecentrum, vliegveld of wapenopslag
In de tenderdocumenten zie je dit terug in termen als “ABRO”, “Bijzondere Opdracht”, “TBB-categorie”, “NBIV” of “ABRO-verklaring”. Lees ook hoe je eisen in tenderdocumenten systematisch analyseert.
De invoering verschilt per organisatie
De ABRO geldt sinds 1 januari 2026. Inkopende organisaties van het Rijk hebben twee jaar de tijd om de ABRO in te voeren. De politie en de ministeries van Algemene Zaken, Defensie, Financiën en het kerndepartement van Justitie en Veiligheid passen de ABRO al toe. Andere organisaties volgen in 2026 en 2027. Rijkswaterstaat verwacht bijvoorbeeld dat ABRO-eisen vanaf 1 januari 2028 een rol kunnen spelen bij gevoelige aanbestedingen.
Welke organisatie wanneer start, staat in het overzicht invoeringsdatum ABRO per inkopende organisatie. Het kabinet wil daarnaast dat ook zbo’s, provincies, gemeenten en waterschappen de ABRO gaan gebruiken. Dat is op dit moment een wens, geen verplichting.
Voor lopende contracten verandert er in principe niets. Bestaande Defensiecontracten blijven onder de ABDO vallen. Bij een heraanbesteding kan de ABRO wel ineens in beeld komen.
Welke eisen staan er in de ABRO?
Vier beveiligingsniveaus: van TBB 4 tot TBB 1
De ABRO werkt met vier niveaus voor te beschermen belangen (TBB). Die lopen van TBB 4 (departementaal vertrouwelijk) tot TBB 1 (staatsgeheim zeer geheim). Hoe hoger het niveau, hoe strenger de eisen. De opdrachtgever bepaalt welk niveau voor jouw opdracht geldt.
Volgens de Rijksoverheid valt het merendeel van de opdrachten onder TBB 4. De eisen op dat niveau sluiten vaak aan bij marktstandaarden die veel bedrijven al kennen.
Vijf hoofdstukken met eisen
De eisen zijn verdeeld over vijf hoofdstukken. Twee daarvan gelden bij elke Bijzondere Opdracht. De andere drie hangen af van de opdracht en de locatie.
- Bestuur en organisatie (altijd): je geeft inzicht in je bedrijfsstructuur en in personen met invloed binnen je bedrijf
- Personeel (altijd): medewerkers hebben bijvoorbeeld een VOG of Verklaring van Geen Bezwaar nodig, tekenen voor geheimhouding of volgen een training
- Fysieke beveiliging: toegang tot en beveiliging van gebouwen, opslag en transport
- Cyberbeveiliging: beveiliging van ICT-middelen en data
- Cloudoplossingen: onder meer sleutelbeheer en een exitstrategie
Zo werkt de ABRO-verklaring van het NBIV
Het NBIV is een samenwerkingsverband van de AIVD en de MIVD. Voor elke Bijzondere Opdracht onderzoekt het NBIV of je bedrijf aan de gestelde eisen voldoet. Dat onderzoek duurt gemiddeld drie tot negen maanden, afhankelijk van de benodigde maatregelen.
Valt het onderzoek positief uit, dan ontvangt de opdrachtgever een ABRO-verklaring. Daarna kan de opdracht definitief worden gegund. Een verklaring onder voorwaarden is ook mogelijk. Je krijgt dan tijd om aanpassingen door te voeren.
- De ABRO-verklaring zelf is kosteloos; investeringen in beveiliging en ICT betaal je zelf
- Voor elke nieuwe opdracht is een nieuwe verklaring nodig
- Ook tijdens de uitvoering wordt gecontroleerd of je blijft voldoen
- Voldoe je niet (meer), dan krijg je de opdracht niet of kan die worden stopgezet
Tip van de expert
Heb je al ISO 27001 of ervaring met de ABDO? Dan kun je volgens de Rijksoverheid mogelijk sneller aan de ABRO-eisen voldoen. Een certificaat is echter geen vervanging van de ABRO-verklaring. Gebruik je bestaande documentatie als vertrekpunt voor een gap-analyse, niet als eindpunt.
Praktijkvoorbeelden: zo ziet ABRO er in een tender uit
Schoonmaak in een ministeriegebouw. Stel: je schrijft in op schoonmaakwerk in een pand waar vertrouwelijke stukken liggen. De opdrachtgever kan dan eisen stellen aan de betrouwbaarheid van je personeel en aan toegang tot het gebouw.
SaaS-oplossing met personeelsdata. Een softwareleverancier die een HR-systeem voor een agentschap host, krijgt al snel te maken met de hoofdstukken over cyberbeveiliging en cloud. Denk aan sleutelbeheer, dataopslag en een exitstrategie.
Renovatie van een detentiecentrum. Een bouwbedrijf werkt op een bijzondere locatie. Fysieke beveiliging, screening van personeel en afspraken over onderaannemers worden dan belangrijk.
Stappenplan: zo bereid je je voor op een ABRO-tender
Stap 1: Herken ABRO-signalen vroeg
Scan de aankondiging en de leidraad op ABRO-termen. Kijk ook naar de opdrachtgever: past die de ABRO al toe? Lees meer over passende aanbestedingen vinden.
Stap 2: Bepaal het TBB-niveau en de hoofdstukken
Zoek uit welk niveau de opdrachtgever hanteert en welke hoofdstukken gelden. Twijfel je? Stel een vraag in de nota van inlichtingen.
Stap 3: Voer een gap-analyse uit
Leg je huidige beveiliging naast de eisen uit ABRO 2026. Noteer per eis wat je al hebt en wat ontbreekt.
Stap 4: Breng je keten in kaart
Inventariseer welke onderaannemers en partners toegang krijgen tot informatie, systemen of locaties. Bespreek met hen tijdig wat de ABRO van hen vraagt.
Stap 5: Reken de doorlooptijd mee in je go/no-go
Het NBIV-onderzoek kan maanden duren. Neem dit mee in je planning, je capaciteit en de verwachte startdatum.
Stap 6: Houd je dossier op orde
Zorg dat informatie over je bedrijfsstructuur, eigenaren en personeelsscreening actueel en snel beschikbaar is. Dat versnelt het onderzoek en helpt bij volgende opdrachten.
Veelgemaakte fouten bij ABRO-opdrachten
- Pas na de voorlopige gunning aan de ABRO denken, waardoor de start vertraagt
- Aannemen dat een ISO-certificaat automatisch voldoende is
- Onderaannemers vergeten, terwijl zij ook toegang tot gevoelige zaken krijgen
- De structurele kosten van beveiliging niet meenemen in je prijs
- Aannemen dat een eerdere ABRO-verklaring ook voor een nieuwe opdracht geldt
- Informatie over de ABRO halen uit onofficiële bronnen in plaats van de Rijksoverheid
Zo helpt TenderSignal je ABRO-tenders eerder te zien
Bij ABRO-opdrachten is tijd je belangrijkste voordeel. Hoe eerder je weet dat een gevoelige opdracht eraan komt, hoe beter je je beveiliging en keten op orde brengt. TenderSignal signaleert passende aanbestedingen op basis van je bedrijfsprofiel. Met de AI-documentanalyse zie je sneller of er beveiligingseisen in de stukken staan. En met inzicht in aflopende contracten en inkoopkalenders zie je verwachte opdrachten al voordat ze gepubliceerd worden.
Samenvatting
De ABRO bundelt sinds 2026 de beveiligingseisen voor gevoelige opdrachten van het Rijk en de politie. De opdrachtgever bepaalt of een opdracht onder de ABRO valt en welk TBB-niveau geldt. Het NBIV toetst per opdracht of je voldoet. Wie vroeg signaleert, een gap-analyse doet en de doorlooptijd meeneemt, vergroot de kans dat een gewonnen tender ook echt van start gaat. Officiële informatie vind je op de ABRO-pagina van de Rijksoverheid en op Ondernemersplein. Nieuw met aanbesteden? Begin dan bij wat een aanbesteding is.
Veelgestelde vragen over de ABRO
Wat is de ABRO?
De ABRO (Algemene Beveiligingseisen voor Rijksoverheidsopdrachten) is één set beveiligingseisen voor opdrachten van de Rijksoverheid en de politie die de nationale veiligheid raken. De ABRO geldt sinds 1 januari 2026 en wordt per organisatie stapsgewijs ingevoerd.
Geldt de ABRO voor elke Rijksoverheidsopdracht?
Nee. De ABRO geldt alleen voor Bijzondere Opdrachten. Dat zijn opdrachten waarbij na een risicoanalyse en eigen maatregelen van de opdrachtgever nog risico’s voor de nationale veiligheid overblijven.
Hoe lang duurt het onderzoek van het NBIV?
Het onderzoek duurt gemiddeld drie tot negen maanden. De duur hangt af van het beveiligingsniveau en de maatregelen die je moet treffen. Bestaande certificeringen zoals ISO 27001 kunnen het proces mogelijk versnellen.
Kost een ABRO-verklaring geld?
De ABRO-verklaring zelf is kosteloos. Investeringen om aan de eisen te voldoen, bijvoorbeeld in fysieke beveiliging of ICT, komen wel voor rekening van de opdrachtnemer.
Wat is het verschil tussen de ABRO en de ABDO?
De ABDO 2019 gold voor Defensieopdrachten. De ABRO is daar een doorontwikkeling van en geldt voor de hele Rijksoverheid en de politie. Lopende Defensiecontracten blijven onder de ABDO vallen; nieuwe Defensiecontracten vallen onder de ABRO.
Heb ik voor elke opdracht een nieuwe ABRO-verklaring nodig?
Ja. Het NBIV beoordeelt per Bijzondere Opdracht of je aan de eisen voldoet. Een eerdere verklaring en een op orde gebracht beveiligingsdossier kunnen een volgend onderzoek wel eenvoudiger maken.
Geldt de ABRO ook voor gemeenten en provincies?
Op dit moment is de ABRO bedoeld voor ministeries, hun diensten en agentschappen en de politie. Het kabinet wil dat ook zbo’s, provincies, gemeenten en waterschappen de ABRO gaan gebruiken, maar dat is nog geen verplichting.