Een Third Party Mededeling (TPM) is een verklaring van een onafhankelijke auditor dat jouw organisatie aantoonbaar voldoet aan een vooraf afgesproken normenkader, zoals ISO 27001, NEN 7510 of de BIO. Je komt de eis vooral tegen bij ICT-, hosting-, software- en dataopdrachten. Soms moet je de TPM bij inschrijving tonen, soms pas tijdens het contract. Een TPM kan maanden voorbereiding kosten. Zie je de eis te laat, dan is je kans op gunning vaak al verkeken.
In dit artikel lees je wat een TPM is, hoe hij zich verhoudt tot ISAE-rapporten en certificaten, en hoe je je op tijd voorbereidt.
Wat is een Third Party Mededeling?
TPM staat voor Third Party Mededeling. Je ziet ook de termen Third Party Memorandum en derdenverklaring. Er bestaat geen wettelijke standaard die precies voorschrijft hoe een TPM eruitziet. In de praktijk is het een assurancerapport, of een samenvatting daarvan, opgesteld door een onafhankelijke IT-auditor.
Drie partijen, één onafhankelijk oordeel
De naam verwijst naar de drie partijen die bij een TPM betrokken zijn:
- De leverancier: jij, de partij die de dienst levert en wordt onderzocht.
- De afnemer: de aanbestedende dienst die zekerheid wil over jouw dienstverlening.
- De onafhankelijke derde: de auditor die onderzoekt in hoeverre je voldoet aan het normenkader en daar een oordeel over geeft.
De auditor geeft een redelijke mate van zekerheid, geen absolute. Het onderzoek kijkt naar je beheersmaatregelen: de afspraken en controles die beveiliging, continuïteit en privacy van gegevens borgen.
TPM, ISAE 3000, ISAE 3402 en SOC 2
TPM is de overkoepelende term. De vorm is meestal een rapport volgens een internationale assurancestandaard:
- ISAE 3402: gericht op processen die invloed hebben op de financiële verslaglegging van de afnemer, zoals salaris- of financiële administratie.
- ISAE 3000 (in Nederland ook Standaard of Richtlijn 3000): breder inzetbaar, bijvoorbeeld voor informatiebeveiliging, privacy en beschikbaarheid.
- SOC 2: een Amerikaanse rapportagevorm die zich richt op beveiliging, beschikbaarheid, vertrouwelijkheid en privacy.
- Verkorte TPM: een samenvatting met de eindconclusie, zonder alle details en bevindingen uit het volledige rapport.
Type I en type II: momentopname of werking over tijd
Een type I-rapport toetst de opzet en het bestaan van je beheersmaatregelen op één moment. Een type II-rapport toetst daarnaast of die maatregelen gedurende een periode echt werkten. Type II geeft de afnemer meer zekerheid. Het vraagt van jou wel een langere voorbereiding, omdat de auditor een rapportageperiode van meerdere maanden beoordeelt.
TPM of ISO 27001-certificaat?
Een ISO 27001-certificaat toont aan dat je managementsysteem voor informatiebeveiliging is getoetst door een geaccrediteerde certificerende instelling. Een TPM gaat specifiek over de dienst en de scope die jij en de afnemer afspreken, vaak met een rapport vol bevindingen. Sommige afnemers accepteren een certificaat als verkorte TPM, andere niet. Lees de eis dus letterlijk. Hoe certificaten als bewijsmiddel werken, lees je in ons artikel over het ISO 9001-certificaat bij aanbestedingen.
Waarom aanbestedende diensten om een TPM vragen
Als een overheidsorganisatie ICT uitbesteedt, komen gegevens en processen bij jou te liggen. De organisatie blijft wel verantwoordelijk voor de beveiliging. Zelf audits uitvoeren bij elke leverancier is kostbaar. Een TPM lost dat op: de dienst steunt op het oordeel van een onafhankelijke auditor. Ook de accountant van de dienst kan dat oordeel gebruiken bij de jaarrekeningcontrole.
Achtergrond: de BIO2
De Baseline Informatiebeveiliging Overheid is het gezamenlijke normenkader voor informatiebeveiliging bij Rijk, provincies, gemeenten en waterschappen. In september 2025 is de vernieuwde BIO2 vastgesteld. De BIO2 vult ISO 27001 en ISO 27002 aan met specifieke overheidsmaatregelen, ook voor leveranciersrelaties. Via de Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2, krijgt de BIO2 een wettelijke basis. Overheidsorganisaties moeten dus kunnen aantonen dat hun leveranciers de beveiliging op orde hebben. Een TPM is daarvoor een veelgebruikt middel.
Werk je voor defensie of andere beveiligingsgevoelige opdrachtgevers? Dan gelden vaak aanvullende kaders, zoals de ABRO-beveiligingseisen.
Voor wie een TPM relevant is
Een TPM-eis raakt vooral leveranciers die gegevens of systemen van de overheid beheren:
- SaaS- en cloudleveranciers die overheidsdata verwerken.
- Hosting- en beheerpartijen, zoals database- of applicatiebeheerders.
- Leveranciers van webapplicaties met een DigiD-koppeling.
- Zorg-ICT-leveranciers die moeten aantonen dat ze voldoen aan NEN 7510.
- Dienstverleners voor salaris-, personeels- of financiële administratie.
- Tendermanagers en bidmanagers die een go/no-go moeten onderbouwen.
Ben je mkb-ondernemer en heb je zelf geen TPM? Dan kan de TPM van je hostingpartij of hoofdaannemer soms helpen. Controleer wel of de aanbestedende dienst toestaat dat je op een derde steunt.
Waar je de TPM-eis in een aanbesteding tegenkomt
Als geschiktheidseis bij inschrijving
Soms is de TPM een geschiktheidseis of knock-outcriterium. Kun je hem niet tonen, dan valt je inschrijving af. Vaak staat er bij dat je een gelijkwaardig bewijsmiddel mag aanleveren. Meer over het lezen van zulke eisen vind je in ons artikel over eisen in tenderdocumenten.
Als contractvoorwaarde: initiële en jaarlijkse TPM
Minstens zo vaak staat de TPM in de conceptovereenkomst. Je moet dan binnen een bepaalde termijn na gunning een initiële TPM leveren en daarna elk jaar een nieuwe. Deze eis valt makkelijk weg tussen de bijlagen. Toch is hij bindend zodra je inschrijft en het contract tekent.
Bij aansluiting op overheidsvoorzieningen
Organisaties met een DigiD-koppeling ondergaan jaarlijks een ICT-beveiligingsassessment. Leveranciers die een deel van die koppeling verzorgen, laten vaak zelf een TPM opstellen. Hun klanten, zoals gemeenten, gebruiken die TPM in hun eigen audit. In de zorg vraagt VECOZO om een verkorte TPM als bewijs dat je voldoet aan NEN 7510.
Waar een bruikbare TPM aan voldoet
Omdat er geen vaste standaard is, verschilt de inhoud per afnemer. In de praktijk controleert een dienst meestal deze elementen:
- De naam en het KvK-nummer van de onderzochte organisatie.
- Het toegepaste normenkader, inclusief versie (bijvoorbeeld BIO2, ISO 27001 of NEN 7510).
- Het object van onderzoek: welke diensten, locaties en onderaannemers vallen binnen de scope.
- Het type (I of II) en de periode waarover het onderzoek gaat.
- Naam, handtekening en titel van de auditor, bijvoorbeeld RE of CISA, controleerbaar in het register.
- De datum waarop het onderzoek is afgerond.
- De conclusie, en eventuele bevindingen met de opvolging daarvan.
Tip van de expert: leg je TPM letterlijk naast de eis in de leidraad. De meest gemaakte mismatch is de scope. Een TPM over je datacenter dekt niet automatisch het applicatiebeheer dat je in deze opdracht aanbiedt.
Praktijkvoorbeeld: als de TPM-eis te zwaar lijkt
Bij een gemeentelijke aanbesteding voor Oracle-beheer eiste de dienst een ISAE 3402 type II-verklaring of een gelijkwaardig bewijsmiddel. Meerdere inschrijvers vroegen in de nota van inlichtingen om de eis te schrappen. Hun argument: de eis was disproportioneel en sloot mkb-partijen in de praktijk uit.
De gemeente hield de eis overeind. Wel verduidelijkte ze wat als gelijkwaardig telde: ook een SOC 2-rapport of een Richtlijn 3000-rapport over informatiebeveiliging en privacy was welkom. Als normenkader verwachtte ze de BIO en de AVG. Voor inschrijvers met zo’n rapport ging de deur daardoor alsnog open.
De les: de nota van inlichtingen is jouw moment. Vraag welk normenkader telt, welke scope nodig is en wat de dienst als gelijkwaardig accepteert.
Wetgeving: proportionaliteit
Volgens artikel 1.10 van de Aanbestedingswet 2012 moeten eisen in redelijke verhouding staan tot de opdracht. De Gids Proportionaliteit werkt dit uit, onder meer voor certificaten en gelijkwaardige bewijsmiddelen. Twijfel je of een eis proportioneel is? Laat je bij grote belangen juridisch adviseren.
Stappenplan: zo bereid je je voor op een TPM-eis
- Stap 1. Signaleer de eis vroeg. Zoek in de leidraad, het programma van eisen, de conceptovereenkomst en de nota’s van inlichtingen naar termen als TPM, derdenverklaring, ISAE en assurance. De documentanalyse van TenderSignal helpt je zulke eisen direct na publicatie te vinden.
- Stap 2. Bepaal normenkader en scope. Welk kader vraagt de dienst en welke dienstverlening moet erin vallen?
- Stap 3. Inventariseer wat je al hebt. Denk aan een ISO 27001- of NEN 7510-certificaat, eerdere audits of de TPM van je hostingpartij.
- Stap 4. Doe een nulmeting. Laat een auditor of adviseur toetsen waar je beheersmaatregelen nog tekortschieten.
- Stap 5. Plan de audit tijdig. Reken voor type II op een rapportageperiode van meerdere maanden.
- Stap 6. Stel vragen in de nota van inlichtingen. Vraag naar gelijkwaardigheid, steunen op derden en de leveringstermijn.
- Stap 7. Neem de jaarlijkse TPM op in je begroting. Verwerk de kosten in je prijs als het contract een jaarlijkse verklaring vraagt.
Lukt het niet om voor de deadline aan de eis te voldoen? Dan is een no-go of samenwerking met een partij die wel een TPM heeft een reële optie. Wil je kansen ruim van tevoren zien? Lees dan ook hoe je heraanbestedingen herkent.
Veelgemaakte fouten met de TPM
- De TPM-eis pas ontdekken in de conceptovereenkomst, als de deadline al nadert.
- Een TPM aanleveren waarvan de scope de aangeboden dienst niet dekt.
- Een verouderd rapport gebruiken waarvan de onderzoeksperiode lang voorbij is.
- Een type I-rapport aanleveren waar de dienst type II vraagt.
- Een certificaat insturen terwijl de leidraad expliciet om een assurancerapport vraagt.
- Vertrouwen op de TPM van je hostingpartij zonder te checken of de dienst dat accepteert.
- Geen budget en planning reserveren voor de jaarlijkse herhaling tijdens het contract.
Kort samengevat
Een TPM is een onafhankelijk oordeel over jouw beheersmaatregelen, getoetst aan een afgesproken normenkader. Aanbestedende diensten gebruiken hem om hun eigen verantwoordelijkheid voor informatiebeveiliging waar te maken, zeker onder de BIO2. Zie de eis vroeg, check scope en type, stel vragen in de nota van inlichtingen en plan de audit ruim op tijd. Met passende aanbestedingen vinden en vroegtijdige documentanalyse voorkom je dat een TPM-eis je verrast.
Veelgestelde vragen over de Third Party Mededeling
Wat is het verschil tussen een TPM en een ISAE 3402-rapport?
TPM is de overkoepelende term voor een verklaring van een onafhankelijke auditor. Een ISAE 3402-rapport is een specifieke vorm daarvan, gericht op processen die de financiële verslaglegging van de afnemer raken. Voor informatiebeveiliging en privacy wordt vaker een ISAE 3000- of SOC 2-rapport gebruikt.
Is een ISO 27001-certificaat hetzelfde als een TPM?
Nee. Een certificaat toetst je managementsysteem voor informatiebeveiliging. Een TPM gaat over een afgesproken scope en normenkader en bevat vaak een rapport met bevindingen. Sommige afnemers accepteren een certificaat als verkorte TPM. Controleer dit in de leidraad of stel er een vraag over in de nota van inlichtingen.
Wie mag een TPM afgeven?
Een onafhankelijke auditor voert het onderzoek uit en ondertekent de TPM. In de praktijk vragen afnemers vaak om een Register EDP-auditor (RE) of een CISA-gecertificeerde auditor. Die titel moet controleerbaar zijn in het bijbehorende register.
Hoe lang duurt het om een TPM te krijgen?
Dat hangt af van hoe goed je beheersmaatregelen op orde zijn en welk type de dienst vraagt. Een type I-onderzoek kan binnen enkele weken tot maanden klaar zijn. Voor een type II-rapport beoordeelt de auditor een periode van meerdere maanden, dus reken op een langere doorlooptijd.
Moet ik de TPM al bij inschrijving aanleveren?
Dat verschilt per aanbesteding. Soms is de TPM een geschiktheidseis bij inschrijving. Vaak staat hij in de conceptovereenkomst als voorwaarde na gunning, met een jaarlijkse herhaling. De tenderleidraad en de conceptovereenkomst bepalen wanneer je hem moet leveren.
Wat kan ik doen als een TPM-eis disproportioneel lijkt?
Stel tijdig een vraag in de nota van inlichtingen. Vraag welk normenkader geldt en welke gelijkwaardige bewijsmiddelen de dienst accepteert. Verwijs naar de proportionaliteitseis uit de Aanbestedingswet 2012 en de Gids Proportionaliteit. Bij grote belangen is juridisch advies verstandig.
Hoe vaak moet een TPM worden vernieuwd?
Veel contracten vragen een initiële TPM en daarna een jaarlijkse nieuwe verklaring. De precieze frequentie staat in de overeenkomst. Neem de kosten van deze jaarlijkse audit mee in je planning en je prijs.