Van ABDO naar ABRO: wat verandert er voor leveranciers aan Defensie en de Rijksoverheid?

De overgang van ABDO naar ABRO is meer dan een nieuwe naam of een administratieve wijziging. Voor organisaties die werken voor Defensie, de Rijksoverheid of andere partijen binnen de (veiligheids)keten verandert er inhoudelijk namelijk behoorlijk veel.

Tegelijkertijd ontstaan er ook misverstanden. Want hoewel ABRO vanaf 2026 steeds zichtbaarder wordt binnen aanbestedingen en contracten, betekent dit niet automatisch dat iedere overheidsopdracht ineens onder ABRO valt.

Juist daarom is het belangrijk om verder te kijken dan alleen de afkorting. Wat verandert er nu écht? Wanneer krijg je ermee te maken? Wat betekent dit voor bestaande ABDO-organisaties? En welke impact heeft dit op leveranciers, cloudgebruik, screening en ketenverantwoordelijkheid?

In dit artikel zoomen we in op de belangrijkste veranderingen van ABDO naar ABRO voor leveranciers aan Defensie en de Rijksoverheid.

Een belangrijk misverstand rondom ABRO is dat vanaf 2026 alle overheidsopdrachten automatisch onder deze beveiligingseisen vallen. Dat klopt niet. Binnen ABRO wordt eerst gekeken of sprake is van risico’s voor de nationale veiligheid. De inkopende organisatie voert daarvoor een quickscan uit en, indien nodig, een aanvullende risicoanalyse.

Pas wanneer die risico’s niet voldoende met lichtere maatregelen kunnen worden beperkt, wordt een opdracht aangemerkt als een Bijzondere opdracht waarop ABRO van toepassing is. Dat betekent concreet:

Voor leveranciers betekent dit vooral dat vroegtijdig inzicht in de opdrachtcontext steeds belangrijker wordt.

De ABDO was oorspronkelijk geschreven voor Defensieopdrachten. ABRO trekt dat breder. Met ABRO ontstaat een uniform beveiligingskader voor de Rijksoverheid en politieorganisaties. Daarmee verschuift de impact van een relatief specifieke Defensie-eis naar een veel bredere overheidscontext.

Dat betekent ook dat organisaties die voorheen weinig raakvlak hadden met Defensie, nu alsnog met ABRO in aanraking kunnen komen. Denk aan:

Voor veel leveranciers wordt nationale veiligheid daarmee nadrukkelijker onderdeel van reguliere aanbestedingen.

Onder ABDO werd gewerkt met een ABDO-autorisatie. Binnen ABRO verandert dat naar een ABRO-Verklaring. Dat lijkt op papier klein, maar inhoudelijk zit er een belangrijk verschil achter. De ABRO-Verklaring is nadrukkelijk gekoppeld aan één specifieke Bijzondere opdracht. Het is dus geen algemene bedrijfscertificering die je onbeperkt kunt hergebruiken voor andere opdrachten.

Praktisch betekent dit:

Voor organisaties die gewend waren om ABDO vooral als “status” te zien, vraagt dat een andere manier van denken.en? Werk dan vanuit een realistische inschatting van het type opdrachten dat je wilt uitvoeren.

Binnen de ABDO speelden BIV en MIVD een nadrukkelijke rol in het proces. In ABRO verschuift dat naar het Nationaal Bureau Industrieveiligheid (NBIV) als centraal aanspreekpunt.

Daarbij blijft de verantwoordelijkheid uiteindelijk gezamenlijk bij AIVD en MIVD liggen, maar praktisch gezien krijgen leveranciers vooral met NBIV te maken voor:

Voor organisaties zorgt dit voor een herkenbaarder en centraler loket binnen het proces.

Eén van de meest besproken veranderingen zit in het gebruik van cloudoplossingen. Binnen de ABDO was public cloud expliciet uitgesloten. In ABRO ontstaat daar meer nuance in. Voor hogere classificaties blijft public cloud verboden, maar voor TBB 4 / Departementaal Vertrouwelijk ontstaat onder voorwaarden wél een beperkte route richting cloudgebruik.

Daarbij gelden aanvullende eisen, zoals:

Voor veel IT-organisaties en SaaS-leveranciers is dit een belangrijke ontwikkeling. Zeker omdat cloud in ABRO niet langer verstopt zit binnen cybersecurity, maar een volledig eigen hoofdstuk heeft gekregen. Dat is een duidelijk signaal: cloud wordt gezien als een zelfstandig beheerdomein met eigen risico’s en beheersmaatregelen.

Ook rondom screening bestaan veel aannames. ABRO betekent namelijk niet automatisch dat iedereen een zwaar veiligheidsonderzoek moet doorlopen. Bij sommige Bijzondere opdrachten, bijvoorbeeld binnen TBB 4 / Departementaal Vertrouwelijk, kan een VOG al voldoende zijn.

Dat maakt de daadwerkelijke classificatie van de opdracht extra belangrijk. Want die bepaalt uiteindelijk:

Eén van de grootste praktische veranderingen binnen ABRO is waarschijnlijk de nadruk op ketenverantwoordelijkheid. ABRO raakt namelijk niet alleen de hoofdaannemer. Organisaties worden ook verantwoordelijk voor de manier waarop onderaannemers, leveranciers en cloudpartijen omgaan met beveiliging en informatiebescherming.

Dat betekent in de praktijk:

Voor veel organisaties zit hier direct ook de grootste uitdaging. Zeker wanneer bestaande leveranciersstructuren nog beperkt zijn vastgelegd of wanneer veel dienstverlening via externe partijen loopt.

Veel organisaties vragen zich af of bestaande certificeringen voldoende basis vormen voor ABRO. In de praktijk helpen normen zoals ISO 27001 of aansluiting op BIO absoluut bij het opzetten van maatregelen en processen. Ze kunnen het traject efficiënter maken en zorgen vaak voor een stevig fundament.

Maar ze leiden niet automatisch tot een ABRO-Verklaring. NBIV beoordeelt uiteindelijk zelf of de getroffen maatregelen passend en toereikend zijn voor de specifieke Bijzondere opdracht. ABRO vraagt dus nadrukkelijk meer dan alleen “een certificaat op de muur”. Juist de praktische werking, projectscope, ketenbeheersing en aantoonbaarheid spelen een grote rol.

Ook binnen aanbestedingen verandert de praktijk. De Rijksoverheid heeft inmiddels toegelicht dat ABRO als opschortende voorwaarde kan worden opgenomen binnen aanbestedingen. Dat betekent:

Voor leveranciers maakt dit timing ineens strategisch belangrijker. Organisaties die pas laat starten met voorbereidingen kunnen daardoor vertraging oplopen in aanbestedingsprocessen.

De overgang van ABDO naar ABRO laat vooral zien dat beveiliging binnen overheidsopdrachten breder, structureler en ketengerichter wordt georganiseerd. Voor leveranciers betekent dit dat compliance steeds minder draait om losse maatregelen of alleen technische beveiliging. Juist de samenhang tussen informatiebeveiliging, governance, leveranciersmanagement, screening en aantoonbare beheersing wordt belangrijker.

Organisaties die nú investeren in structuur, processen en inzicht creëren daarmee niet alleen meer grip op aanbestedingen, maar bouwen ook aan een stevigere positie binnen de defensie- en overheidsketen.

Wil je weten wat ABRO precies inhoudt en hoe je jouw organisatie hierop voorbereidt? Neem dan gerust contact met ons op. Wij helpen je graag op weg. Ook als je wilt werken voor Defensie ben je bij ons aan het juiste adres. Wij zijn thuis in de eisen die worden gesteld aan leveranciers van Defensie en kunnen jouw organisatie daarbij helpen.