Implementatie ABRO: lessen uit de praktijk

Overheidsorganisaties voeren de beveiligingseisen gefaseerd in. In tranche 1 starten in de periode 2026-2027 ministeries, diensten en agentschappen van het Rijk en de politie met het implementeren van de beveiligingseisen bij hun inkopen. In volgende tranches wil het kabinet dat ook zelfstandige bestuursorganen, provincies, gemeenten, waterschappen en de vitale sector (zoals energiebedrijven) de ABRO gaan implementeren.

Randvoorwaarden voor implementatie

Er zijn 3 randvoorwaarden voordat je als projectleider met de implementatie kan beginnen, vertelt Stet: “Als eerste moet bekend zijn wat de te beschermen belangen (TBB’s) van de organisatie zijn, en welke opdrachtgever voor welk belang verantwoordelijk is. Daarnaast stel je een inkoopkalender op, het liefst voor 2 jaar vooruit. Die kalender houd je daarna bij. Tot slot maak je een inschatting van het aantal ABRO-dossiers per jaar. Je kunt een indicatie daarvan krijgen door meerdere jaren terug te kijken. Heb je bijvoorbeeld in het verleden een geheime aanbesteding gehad, dan is voor een vervolgopdracht de ABRO hoogstwaarschijnlijk van toepassing.” 

Zorg voor een projectteam met voldoende kennis

Naast de randvoorwaarden vorm je voor de implementatie van de ABRO een multidisciplinair projectteam. Dat team onderzoekt wat de organisatie nog nodig heeft voor de implementatie. Stet: “Een goed projectteam heeft kennis van inkoop en van beveiliging in de fysieke en digitale wereld, maar ook van opdrachtgeverschap. Want opdrachtgevers moeten uiteindelijk de ABRO gaan toepassen. Bovendien is in een goed projectteam zowel de beleidskant als de uitvoerende kant vertegenwoordigd. Tot slot maak je vooraf duidelijk welk mandaat het projectteam heeft en hoe de besluitvorming gaat lopen.” Er is geen voorgeschreven moment om dat team te vormen: “Je kunt het opzetten nadat de randvoorwaarden in kaart zijn gebracht, maar je kunt dat ook met het projectteam doen.”

Ga langs alle lagen van de organisatie

Bij het ministerie van Justitie en Veiligheid (JenV) gaat het projectteam de randvoorwaarden na. Rik Wijnhof, projectleider implementatie ABRO bij JenV, vertelt: “In ons team zitten collega's van inkoop, beveiliging en informatiebeveiliging. Daarnaast hebben wij een communicatieadviseur die bij de implementatie betrokken is. In het voortraject hebben we bovendien de bedrijfsjurist en experts van de NCTV en het Nationaal Cyber Security Centrum (NCSC) betrokken. Om de randvoorwaarden in beeld te krijgen gaan we als team langs alle lagen van de organisatie. Tegelijkertijd vragen wij in die gesprekken welke zorgen er spelen. Op basis van die input ontwikkelen wij voor JenV informatie aanvullend op de ABRO-gids, om collega’s op weg te helpen. Daarin staan de veelvoorkomende vragen en antwoorden.” 

Benadruk de urgentie van veilig inkopen

Een veelgenoemde zorg is de uitvoeringslast. Wijnhof: “Die uitvoeringslast moet er niet toe leiden dat opdrachtgevers de toepassing van ABRO willen omzeilen. Benadruk en herhaal daarom in de communicatie de urgentie en het belang van veilig inkopen. In ons departement is al veel kennis over veiligheid, dus onze collega’s begrijpen die boodschap goed. Bovendien leggen we steeds uit dat de ABRO niet altijd van toepassing zal zijn. Ze gelden alleen als zowel de te beschermen belangen als de nationale veiligheid worden geraakt.”

Geef het stokje over

Opdrachtgevers moeten de ABRO gaan toepassen. Volgens Wijnhof is de implementatie daarom succesvol als hij het stokje kan overdragen. “Het projectteam wordt geen uitvoerend ABRO-team. Wanneer het kabinet de ABRO goedkeurt, houden wij nog een kick-offbijeenkomst. Daarbij zijn zowel de inkoop- als de veiligheidsafdelingen aanwezig. Na die kick-off moet er voldoende kennis zijn binnen de organisatie. Wel bieden we aan om de eerste keer te helpen met een ABRO-traject. Mijn advies: begin op tijd en zorg dat je genoeg ondersteuning kan bieden bij de eerste dossiers.”